apache - htaccess 登录，是否通过 ssl 传输？

Question

我有一个开发站点被 htaccess 锁定，在允许访问之前需要用户和密码身份验证。域本身安装了一个有效的 ssl 证书。

我很好奇的是； htaccess 登录有多安全？它使用 ssl 吗？我假设它不会，但非常感谢对此有更多的了解。

如果它不使用 ssl，有没有办法强制它这样做？这样做有什么好处吗？

Answer 1

身份验证(通过 .htaccess 或其他方式配置)和 HTTPS 的使用是正交的概念，即您可以使用 HTTPS 而不使用身份验证，也可以使用身份验证而不使用 HTTPS，但您也可以同时使用两者或两者都不使用。

如果您想确保仅在使用 HTTPS 时才进行身份验证，那么您需要配置您的站点，以便所讨论的 URL 仅可用于 HTTPS。启用身份验证不会神奇地强制执行 HTTPS。如果您只启用身份验证但允许使用 HTTP 和 HTTPS 访问 URL，那么身份验证也将同时使用这两种方式完成，如果用户继续使用纯 HTTP，则会导致密码传输不安全。