asp.net-mvc - 在 Asp.net MVC 应用程序中使用 SSL 而不是验证 key 的区别

Question

对于每个 Asp.net MVC 应用程序，我们使用静态或动态 key 来验证用户请求/响应，例如在 web.config 文件中，由于具有静态验证，我们可能会使用它:

<machineKey validationKey="AC7308C5274D969E665AC7BED7A863582B571D97D9ED03B314952BD3DD159CDFC164E2341D44BDE8F0284FA924052817B3D7429433AABC3F53A118BB7B3F9ABB" decryptionKey="1EDB4490EC0074F7FF3099D450D5E92F1D39F577F9799D14033D1B27DB0F7A93B" validation="SHA1" decryption="AES" />

另一方面，我们有一个名为 SSL(安全套接字层)的工具来升级 Web 应用程序的安全性。 SSL也有不可否认机制。

考虑到这一点，我的问题是:

What differences exist between them? And What types of jobs are related to them? Each one Will secure which part of App? In other words: Can we be confident from our app by using MVC ValidationKey instead of using SSL?

令我困惑的概念是:它们同时具有加密/解密。

Answer 1

非常高级别的答案是它们保护不同的东西。它们是互补的；安全的 ASP.NET 应用程序同时使用它们。

SSL 用于保护客户端和服务器免受不受信任的第三方的侵害。它提供身份验证:客户端知道他正在与之交谈的服务器的身份。它还提供完整性保护:客户端知道他获得的页面实际上来自服务器而不是攻击者。并且它提供了保密性:没有人可以读取客户端在结账时发送给服务器的信用卡号。

另一方面， 元素保护服务器免受恶意客户端的侵害。假设您的服务器向我发送了一个显示“levi”的登录 cookie。如果我将 cookie 内容改为“amir”会怎样？ 加密服务允许服务器验证当诸如 cookie 和表单字段(例如 __VIEWSTATE)之类的信息从服务器 -> 客户端 -> 服务器往返时，客户端没有以恶意方式篡改有效负载时尚。