浏览器地址栏已经有小锁，渗透测试报告却仍然写着“密码明文传输”。这条到底是误报，还是 HTTPS 只保护了链路中的一小段？本文从浏览器、反向代理、内部网络、Cookie 和日志逐层排查。