javascript - HTTP 与 HTTPS 有什么区别，SSL 到底发生了什么？

Question

我刚才问了一个关于 What is the difference between requiring an SSL cert and accepting an SSL cert? 的问题

在很大程度上消除了两者之间的差异，但是我对这个主题仍然有点不清楚。

我对这张图片有几个问题:

• 需要 SSL - 从客户的 Angular 来看，这到底意味着什么？这是否意味着为了让网页出现，服务器需要有 SSL 证书？这种加密是如何工作的？
• 客户端证书 - 我知道这一切都来自客户端，但作为网络服务器，我会发布吗？在什么情况下您需要客户证书？

也在阅读这篇文章:Why SSL? The Purpose of using SSL Certificates虽然我确实在特定页面上设置了要求 SSL 和忽略客户端证书，但我没有看到地址栏的以下更改:

• 为什么我看不到它？我需要什么才能让它正常工作，因为这让我相信使用 HTTPS 确实没有比 HTTP 更安全的方法

我对此提出质疑的原因是因为最近，在尝试将 HTML 动态加载到我的网站时，我正在使用 Javascript 和 HTTPS 作为 url 进行加载，但我收到域错误，表明它不是来自同源...

即http://www.example.com & https://www.example.com - 我不明白为什么我会得到一个错误提示同一来源？ 更不用说我还使用了带有 HTTPS 的页面(地址栏中显示的是该页面)。与此同时，将链接更改为 HTTP 似乎修复了该错误。

Answer 1

Require SSL - What exactly does this mean from a client standpoint?

documentation有点不清楚。它要么意味着:

• 当向服务器发出纯 HTTP 请求时，它会响应说“您想要的资源位于此 HTTPS URL，去那里获取它”或
• 它完全关闭了普通 HTTP 支持

如果您有支持 SSL 的 IIS 服务器(我不支持)，这很容易测试，我认为这是第一个选项。

---

Client Certificates - I get that this all comes from the client, but is it something that I, as a webserver, would issue? What would be a particular situation where you would require a Client certificate?

通常，您会以“运行网络服务器的人，但也可能是其他需要客户端证书的系统”的身份发布它们。

您使用这些代替用户名/密码。

---

while I do have Require SSL and Ignore Client certificates setup on specific pages, I don't see the below changes to the address bar

如果您不向我们展示您在自己网站上看到的内容，则很难判断问题出在哪里。

---

i.e. http://www.example.com & https://www.example.com - I don't get why I would get an error saying not the same origin?

原产地规则非常严格。

• 主机名必须相同(确实如此)
• 端口必须相同(不是，您有 80 和 443，这是 HTTP 和 HTTPS 的默认值)
• scheme必须相同(HTTP和HTTPS不一样)

您应该通过在任何地方使用 SSL 来缓解这种情况。不要对某些事物使用纯 HTTP 而对其他事物使用 HTTPS。

浏览器未通知连接安全(如上一节所述)可能是因为您通过 HTTP 将其他资源加载到页面中，但如果没有测试用例，则很难判断。