google-app-engine - Appengine http 安全吗？

Question

我认为这是一个简单的问题。

如果我在 appengine 中使用 google 用户帐户

from google.appengine.api import users

为了验证我的用户，我的应用程序的其余部分在 http(而非 https)下的安全性如何，即。这种设置的弱点在哪里？

谢谢

Answer 1

假设您通过 http 发送的任何内容都可以被攻击者拦截和检查。这包括您存储在他们的浏览器中以对他们进行身份验证的任何 token - 攻击者也可以看到它，并使用它来伪造请求。

如果这听起来像是一个您不需要担心的“理论上的”漏洞，那么在您阅读 FireSheep 之前，您不应该做任何涉及保护用户数据的事情。并了解它是如何工作的，以及你将如何防止类似的事情发生。 (这只是您需要了解的攻击示例之一。这不是唯一可能的攻击。)

简而言之，这种设置的弱点在于您使用 http 发送任何您想要保密的内容。