php - 页面上的密码字段和 SSL 证书

Question

我有一个安全问题。如果通过需要用户名和密码的模式在页面上有可用的登录框，您的网页是否必须位于 https(SSL 证书)上？或者只是登录 Assets 必须在 https 上？

我的网站包含不需要登录即可访问的可浏览内容，但每个页面的页眉中都提供了登录选项。

例如，我的网站有一个类似于 www.fab.com 的登录名(可浏览的内容带有登录选项)。

我遇到了 Firefox 由于混合内容而禁用功能的问题，即使我正在采取措施删除我的 Assets 链接中的协议(protocol)。

提前致谢!

Answer 1

首先，security.stackexchange.com 可能更适合提出这个问题。但对于您的问题:SSL (https) 提供对等和端到端加密的标识。因此，如果您使用 https 提交数据，您可以确定没有人操纵提交的数据。

但是，如果您不也通过 https 加载表单，则有人可能会操纵它，例如更改提交目标。因此，您永远不应使用 http 提供敏感表单，而应提交到 https。

除此之外，攻击者还有足够多的方法获取数据:

• 操纵通过 http 提供的页面以包含表单，即使原始页面没有表单。特别是对于登录表单，这会欺骗很多用户。因此，您最好使用 https 提供所有服务。
• 通过滥用广告等位置在您的网页中植入虚假表单。因此，您最好不要在您的网页上包含任何第三方脚本(广告、跟踪、社交...)，如果您使用广告，请将它们限制在 iframe 中放置这样他们就永远不会通过显示虚假表格来欺骗用户
• 可能更多