1. 课程导论：为什么 ThingsBoard 需要 HTTPS？
1.1 从 HTTP 到 HTTPS：物联网平台的安全基线
ThingsBoard 作为企业级物联网平台，承载着设备遥测数据、设备控制指令、用户凭证与租户配置等核心资产。在默认安装中，ThingsBoard 通过 HTTP 提供 Web UI 和 REST API 服务，这意味着所有通信以明文传输，任何中间环节都可以直接读取或篡改数据包。
⚠️ 风险提示： 生产环境中使用 HTTP 暴露 ThingsBoard 控制台，等同于将平台管理员密码、设备访问令牌、遥测数据明文暴露给网络中的攻击者。这是物联网平台安全审计中最常见的高危配置项。
HTTPS（HTTP over TLS）通过在 TCP 之上增加 TLS 加密层，解决了三个核心安全问题：
- 机密性 — 所有 HTTP 载荷（包括 JSON 数据、Cookie、Token）均被加密，中间人无法读取。
- 完整性 — TLS 消息认证码（MAC）确保数据在传输过程中未被篡改。
- 身份验证 — 服务器证书让客户端确认正在与真实的 ThingsBoard 服务器通信，而非钓鱼或中间人节点。
1.2 HTTP 与 HTTPS 核心差异对比
| 对比维度 | HTTP | HTTPS |
|---|---|---|
| 传输层协议 | TCP 明文 | TCP + TLS 加密隧道 |
| 默认端口 | 80 | 443 |
| 数据加密 | 无 | AES-GCM / ChaCha20 等对称加密 |
| 身份验证 | 无服务器身份校验 | X.509 证书链验证 |
| 数据完整性 | 无校验 | HMAC 完整性校验 |
| ThingsBoard 场景 | 仅适合本地开发/测试 | 生产环境、公网暴露、多租户隔离 |
| 性能开销 | 无额外握手 | 1-RTT 握手 + 加密计算（现代硬件可忽略） |
1.3 ThingsBoard 启用 HTTPS 的收益
- 保护设备凭证 — MQTT over TLS 和 HTTP over TLS 防止设备访问令牌在注册或数据上报时泄露。
- 保障仪表板安全 — 管理员通过 Web UI 配置规则链、用户权限时，所有操作均在加密通道内完成。
- 满足合规要求 — GDPR、等保 2.0、SOC 2 等标准均要求传输层加密。
- 防止会话劫持 — HTTPS 加密 Cookie 和 JWT Token，避免中间人窃取会话后直接接管平台。
📊 行业数据： 根据 OWASP 2023 年物联网安全报告，超过 68% 的物联网平台安全事件与未加密的通信接口直接相关。启用 HTTPS 是成本最低、效果最显著的安全加固措施之一。
1.4 HTTPS 在 ThingsBoard 架构中的位置
下图展示了 ThingsBoard 在启用 HTTPS 前后的通信链路变化。左侧为默认 HTTP 明文架构，右侧为加固后的 HTTPS 加密架构。
1.5 课程目标与学习路径
本课程旨在帮助 ThingsBoard 运维人员系统掌握 HTTPS 与证书配置的完整技能栈。课程采用“理论 → 实践 → 排错 → 加固”四阶段递进结构：
| 阶段 | 章节范围 | 核心产出 |
|---|---|---|
| 基础篇 | 第 1-5 章 | 理解 TLS 原理、证书类型、ThingsBoard 通信架构 |
| 实践篇 | 第 6-15 章 | 自签名证书、Let's Encrypt、商业 CA 证书配置 |
| 进阶篇 | 第 16-24 章 | 双向 TLS、证书轮换、Nginx 反向代理、负载均衡 |
| 运维篇 | 第 25-30 章 | 监控告警、证书到期自动续签、安全审计 |
💡 学习建议： 建议在测试环境（如 Docker 或虚拟机）中跟随每章操作。课程提供完整的 docker-compose 配置示例和证书脚本，可直接用于生产环境前验证。
1.6 前置知识要求
- 熟悉 Linux 基本操作（文件编辑、服务启停、端口查看）
- 了解 ThingsBoard 基本架构（Web UI、REST API、MQTT 网关）
- 具备基础的网络概念（TCP/IP、DNS、端口转发）
- 无需深入密码学知识，课程会提供必要的背景解释