java - 何时不使用双向 SSL 认证验证

Question

我有一个基于 Java 的后端应用程序，它只执行读取操作。后端的工作方式是用户放置一个客户唯一标识符，并从该 i.d.它返回客户的信息。此后端应用程序仅由公司内部团队调用。这导致我问什么时候不使用SSL认证验证？此应用程序是否需要双向 SSL 认证，该应用程序仅由公司内部团队调用？

Answer 1

这与 Java 无关。并且在很大程度上取决于贵公司的安全政策。

如果客户信息在公司内部公开，则根本不需要身份验证。如果不是公开的，则需要身份验证。 (因此您的后端可以检查用户是否有权查看该信息)

通常，您的公司会根据信息的保密等级规定访问信息所需的安全等级。

更新想到的几个原因(使用或不使用 SSL)

不使用 SSL 的唯一原因(比如“极力避免使用它”)是

• 如果您有高度依赖于速度的(实时)通信并且想不惜一切代价避免这种开销

使用它的原因(现在你应该至少使用 HTTPS)

• 这样，浏览器就知道它在和谁通话(避免中间人)
• 这样传输就被加密了(可能有人在线上安装了监听器)

使用身份验证和检查用户是否被授权的原因:

• 将来，数据分类可能会发生变化(例如，并非所有员工都可以查看该数据)=> 届时无需更改应用程序，只需更改权限分配即可。

PS:再补充一点:

• 身份验证方法(基本与客户端证书与其他方法)仍将取决于用例和 secret 性分类