c# - 当您可以保护服务器 (IIS) 时，为什么还要使用 HTTPS 保护网站？

Question

在发布问题后 How to make a website secured with https我的问题来自 SSL 信息的溢出。

我们见过很多用 ASP.NET Web API 或 MVC 编写的网站示例，它们以编程方式将 HTTPS 授权嵌入到网站中。我也知道如何在 IIS 上启用 HTTPS。

我正在开发一个网站并将 HTTPS 放入我的 Controller 中。按照我在 pluralsight.com 上观看的视频，我在 WebAPI 上为我的网站添加了 HTTPS。一位同事问我为什么要花时间这样做，因为我只是在 IIS 服务器上启用它。

我不知道我为什么这样做，但我看到了两者的例子。对于初级开发人员的挫败感，我能否在服务器上启用 HTTPS 并避免未加密的连接？

我假设有人可以劫持服务器并颁发证书，我可以通过以编程方式启用 HTTPS 来阻止在我的网站上使用我的网站，除了服务器之外，它还会在客户端上。

Answer 1

网站安全和网络服务器安全是两个重叠的领域。因此，要解决您的问题，您应该研究这两个领域，看看哪些是确定风险的典型措施和补救措施。

一般而言，HTTPS 是一种加密客户端/服务器通信的方法，以验证服务器和/或客户端的身份。所以属于网站安全领域。

您的同事可能只是注意到一个事实，即无论站点多么安全，服务器安全都是一个完全独立的领域。但您应该知道，如果一个站点不安全，它也可能成为托管它的网络服务器的致命弱点(例如，整个服务器可能仅仅因为其中的一个站点被黑客攻击而受到威胁)。

信息安全是一个非常复杂的概念，所以我不能用这么简短的回答来向你揭示方方面面，但希望它能帮助你了解一些基本事实。