node.js - 如果已经为我的 Elastic Beanstalk 环境配置了 HTTPS，是否有必要将 HTTPS 与 express 结合使用？

Question

我想确保与我的网络应用程序的所有通信都是安全的。

这是我开发的第一个 Web 应用程序，我对这个后端/基础架构领域真的很陌生，所以我的问题听起来有点傻。

我的应用程序是用 Node.js 编写的，我使用 Express:

var express = require('express'),
    bodyParser = require('body-parser'),
    methodOverride = require('method-override'),
    errorHandler = require('errorhandler'),
    jsdom = require('jsdom'),
    http = require('http'),

...

var server = http.createServer(app).listen(app.get('port'), function () {
// Allow prompt in Node after launching
    repl = require("repl")
    repl.start("> ")
});

此应用程序在 AWS 的 EC2 实例上运行(不知道措辞是否正确)，与该应用程序的任何通信都使用 HTTPS 进行保护(例如，我可以对 https://my.api.com/get/results 进行 API 调用)。

到目前为止一切正常，但我想知道这一切是否安全。

您可能已经注意到，我没有在 express 服务器上使用 HTTPS:

http = require('http')

据我所知，在我的案例中，快速服务器仍然在 HTTPS 安全门户的“后面”。

最好在发布不安全的东西之前询问..

Answer 1

如果你有一个为你处理 HTTPS 的反向代理，那么通常不需要在你的 Node 应用程序中使用 HTTPS，特别是如果这两者通信的网络是安全的——比如你的环回接口(interface)或内部网络数据中心。如果反向代理和您的 Node 应用程序通过公共(public)互联网进行通信，那么您也需要为该流量使用 HTTPS。

查看这些答案以获取更多信息:

• reverse proxy using ngix and ssl implementation on express failed
• SSL With node / IIS
• How to run nodejs server over 443 ensuring nginx doesnt stop working
• Configuring HTTPS for Express and Nginx