传输层的作用和位置
在计算机网络中，传输层位于OSI模型的第四层，主要负责端到端的数据传输。我们日常使用的网页浏览、视频通话、在线支付等操作，背后都离不开传输层的支撑。常见的传输层协议有TCP和UDP，前者强调可靠传输，后者注重效率。
很多人会问：既然数据要经过网络传输，那传输层能不能对这些数据进行加密？答案是：传输层本身不提供加密功能，但可以通过附加的安全协议实现加密。
原生传输层协议不加密
TCP和UDP作为基础传输协议，并没有内置加密机制。它们只管把数据从一端传到另一端，不管内容是否被窃听或篡改。比如你在咖啡馆用公共Wi-Fi登录一个没加HTTPS的网站，传输的数据可能是明文的，黑客用抓包工具就能看到你的用户名和密码。
这就是为什么仅靠TCP或UDP无法保障安全。它们的设计目标是“传得准”“传得快”，而不是“传得密”。
通过TLS/SSL实现传输层加密
虽然TCP本身不加密，但我们可以在它之上叠加安全层。最常见的就是TLS（Transport Layer Security），也就是以前常说的SSL。当HTTP加上TLS，就成了HTTPS；当SMTP加上TLS，邮件传输就更安全。
很多人以为HTTPS是应用层的事，其实它的加密动作发生在传输层附近。准确来说，TLS工作在传输层和应用层之间，为TCP连接提供加密、身份验证和完整性保护。
当你访问一个以https://开头的网站时，浏览器会先和服务器建立TCP连接，然后通过TLS握手协商加密算法和密钥。之后的所有数据，包括请求头、表单内容、Cookie，都会被加密后再交给TCP发送。
实际例子：网上银行的操作
假设你正在使用手机银行转账。输入账号密码后点击登录，这个请求如果走的是普通HTTP+TCP，数据包在网络中就像一张明信片，谁都能看。但如果走的是HTTPS，整个通信过程就相当于把信件放进带锁的盒子，只有银行服务器能打开。
这个“带锁的盒子”就是TLS提供的加密通道。它不是改变TCP本身，而是在TCP之上构建了一个安全隧道。因此，我们常说“传输层加密”，其实是“传输层级的加密”，并非TCP自己在加密。
代码示例：TLS握手简化流程
以下是一个简化的TLS握手过程示意，展示客户端和服务器如何建立加密连接：
1. 客户端发送“ClientHello”：支持的TLS版本、加密套件列表
2. 服务器回应“ServerHello”：选定加密套件、发送数字证书
3. 客户端验证证书，生成预主密钥，用服务器公钥加密后发送
4. 双方基于预主密钥生成会话密钥
5. 使用会话密钥加密后续所有通信这个过程完成后，TCP传输的就不再是原始数据，而是经过加密的密文。即使被截获，攻击者也难以解密。
其他支持加密的传输层协议
除了TLS+TCP的经典组合，也有一些专用协议直接整合了加密能力。例如QUIC协议，由Google开发，现已成为HTTP/3的基础。它在设计之初就把加密纳入传输层，连握手过程都是加密的，进一步提升了安全性和速度。
与传统TCP+TLS需要多次往返不同，QUIC能在第一次连接时就完成加密协商，减少延迟。你现在刷某些短视频App时可能已经在使用QUIC，只是察觉不到。
家庭路由器也能影响传输层安全
有些用户为了监控孩子上网，会在路由器上启用“流量分析”功能。这类功能有时会尝试解密HTTPS流量，方法是让设备安装一个中间人证书。一旦生效，路由器就能“合法”查看原本加密的内容。
这说明一个事实：传输层加密依赖于两端的信任机制。只要客户端信任了恶意证书，再强的加密也形同虚设。所以保持系统和浏览器的证书信任列表更新很重要。