在 Google App Engine 应用程序之间进行通信时是否需要 SSL？答案

【问题标题】：Do I need SSL when communicating between Google App Engine apps?在 Google App Engine 应用程序之间进行通信时是否需要 SSL？
【发布时间】：2014-07-24 14:46:15
【问题描述】：

我有两个需要相互通信的 App Engine 应用。我没有使用模块。

我使用 HTTP url fetch 在它们之间进行通信。我是否需要通过 HTTPS 发出请求以确保安全通信。

我似乎记得一篇文章指出，Google 基础架构内的所有通信默认情况下都是加密/安全的，因此使 HTTPS 变得多余。

谁能确认这一点，因为零努力节省一些宝贵的 CPU 时钟周期会很好？

（我知道如何使用 HTTP 标头确保每个服务器的身份，所以身份不是问题。）

【问题讨论】：

我认为无法保证您在 Google 基础架构中的流量是自动安全/加密的。可能只是谷歌现在正在使用 HTTPS（或类似的）在数据中心之间/数据中心内的所有通信以获取其自己的服务，而不是您的（如果现有服务已加密，为什么要在交换机级别浪费双重加密流量？）您可以保证安全性自己使用 HTTPS。

标签： google-app-engine

【解决方案1】：

SSL 的目的是防止某些黑客通过嗅探您的请求/响应来窃取有价值的信息，例如您的在线身份。从一台 Google 服务器到另一台服务器的调用不应受到任何嗅探。因此，在我看来，Google 实例之间的 SSL 是不必要的。

【讨论】：

我不确定您是否有任何保证您的流量不会被嗅探。谷歌有很多安全专家，但这并不意味着他们是无敌的......
我认为 Google 实例之间也不需要 SSL。我只是想看看是否有人有一些确凿事实的链接，这样我就可以确定实例之间的通信将完全保留在 Google 内部网中。

【解决方案2】：

如果在调用 fetch 时将 follow_redirects 参数设置为 False，则不需要 SSL。这将确保呼叫不会离开 Google 的基础架构。请参阅this 文档的向其他 App Engine 应用或 Google 服务发出请求部分。

另一方面，使用 SSL 不会增加实例的 CPU 时钟周期，但请求-响应会花费更多时间。

【讨论】：

感谢您的链接。 follow_redirects 并没有专门指 http 或 https。如果使用 http 在应用程序之间发送数据可能容易受到中间人攻击，它没有回答。（我很确定你认为 HTTP 没问题。我只是想从谷歌那里得到证明。）
@Dan 流量加密的官方指示是来自谷歌首席法务官的声明here。另一个报告流量被加密是here。