HTTPS（HyperText Transfer Protocol Secure）的安全机制，其核心在于通过SSL/TLS协议层在HTTP之上构建一个安全通道，该通道的建立与维护依赖于多种密码学技术的协同工作 。

HTTPS的安全基石是混合加密机制，它巧妙地结合了非对称加密与对称加密的优势。在初始的TLS握手阶段，采用非对称加密算法（如RSA、ECC）进行密钥交换。具体而言，服务器提供其公钥，客户端使用该公钥加密一个称为“预主密钥（Pre-master Secret）”的随机数并发送给服务器，只有持有对应私钥的服务器才能解密获取该密钥 。此过程解决了密钥在不可信信道中安全分发的难题。然而，由于非对称加密计算开销大，不适合持续加密大量数据。因此，握手成功后，双方会利用客户端随机数（Client Random）、服务器随机数（Server Random）和预主密钥共同推导出相同的会话密钥。后续所有应用层数据的传输均转而使用该会话密钥进行高效的对称加密（如AES-256），从而在保障安全性的同时兼顾了性能 。

为了防止攻击者冒充合法服务器进行中间人攻击，HTTPS引入了数字证书体系作为身份认证的核心。服务器需从受信任的证书颁发机构（CA）获取包含其域名、公钥及CA数字签名的X.509格式证书 。客户端（如浏览器）内置了可信CA的根证书列表。在握手过程中，客户端收到服务器证书后，会执行链式验证：检查证书是否由可信CA签发、域名是否匹配、有效期是否有效。CA的签名确保了证书的不可伪造性，从而让客户端能够确认正在通信的服务器身份的真实性 。

除了保密性和认证，HTTPS还通过散列算法确保数据的完整性。通常采用如SHA-256等算法生成数据的消息摘要，并结合消息认证码（MAC，如HMAC）机制。即使传输的数据发生极微小的篡改，接收方计算出的摘要也会与附带的MAC值不匹配，从而能够及时发现并丢弃被篡改的数据包 。

整个安全连接的建立过程遵循标准化的SSL/TLS握手流程，可简要概括为以下步骤：

1. Client Hello：客户端发起连接，发送支持的密码套件列表和客户端随机数。
2. Server Hello：服务器回应选定的密码套件、服务器随机数及其数字证书。
3. 密钥交换与验证：客户端验证服务器证书，并用证书中的公钥加密预主密钥发送给服务器。
4. 生成会话密钥：双方利用两个随机数和预主密钥，独立计算出相同的会话密钥。
5. 加密通信：握手完成，双方使用会话密钥开始进行对称加密的保密通信 。

下表概括了HTTPS中各项核心技术的分工与协作：

综上所述，HTTPS的安全性是保密性、完整性和身份认证三大安全目标的综合实现。其性能开销主要集中于初始握手阶段的非对称加密运算，但可通过会话复用（Session Resumption）等技术进行有效优化 。

参考来源

• HTTPS加密原理及安全机制详解