ASP.net SSL 问题

Question

如果我将登录用户重定向到我网站上的非 SSL 页面:

Response.Redirect("http://www.mysite.com/page.aspx");

但是母版页有代码:

if (IsLoggedIn)
    ForceSSL();

将用户重定向到:

Response.Redirect("https://www.mysite.com/page.aspx");

在重定向和第二次重定向之间，是否有任何不安全的数据从客户端传输到服务器？

Answer 1

初始请求http://www.mysite.com将发送与该域关联的任何 cookie，但如果您在 https://www.mysite.com 上处理所有流量，则不应有任何 cookie

(假设您的 cookie 设置为仅安全)

编辑:

错过了关于登录的部分...如果站点使用标准表单例份验证，您会想在 web.config 中执行类似的操作，它应该为您处理(需要 SSL):

<authentication mode="Forms">
  <forms loginUrl="Login.aspx" timeout="15" slidingExpiration="true" requireSSL="true"/>
</authentication>

编辑#2:

我很好奇你是否可以在站点级别对所有 cookie 强制执行此操作(没有表单例份验证)，看起来你可以通过将此添加到配置文件来实现:

<httpCookies domain="String" requireSSL="true" />