設計和測試沒有SSL的安全Web應用程序可以嗎？

Question

我需要構建一個最終需要通過SSL啓動的小型Web應用程序。

我的問題是，我可以設計和測試它，就好像它是一個普通的應用程序，只是後來添加任何必要的東西來使其安全？或者我必須從一開始就通過SSL對其進行測試。

Answer 1

當你開發你的應用程序時，你會很好地等待SSL。注意不要對任何http://網址進行硬編碼，我認爲您的大部分開發都不會遇到任何問題。在上線前切換到SSL之後，確保你做了大量的測試。

Answer 2

除了HTTP URL的手錶出來的端口號的HTTPS流量不會對端口80

Answer 3

你可以用非SSL測試，但也有幾件事情需要注意。如果您正在加載第三方網站上的圖片或組件（例如CAPTCHA），則需要確保可以通過SSL調用它們。有時，網絡分析軟件的跟蹤像素也會造成痛苦。

Answer 4

如果您使用的是ajax調用，則通過您的域上的非https資源代理所有請求。我遇到了一個問題（使從非SSL頁面到SSL URL的AJAX調用）返回。

Answer 5

我的問題是，我可以設計和測試它，就好像它是一個普通的應用程序，只是後來添加任何必要的東西才能使其安全？或者我必須從一開始就通過SSL對其進行測試。

如果通過whatever is necessary to make it secure您的意思是enable ssl那麼肯定，去吧。但是，如果要使其安全性需要其他方面的內容，如認證，授權，基於角色的訪問以及什麼不是，那麼不需要。傳統的看法是在開發的所有階段都包含安全性，因爲最終你不能只是「開啓」它。在實施具有豐富訪問控制的安全系統時，大多數問題不會發生在您身上，除非您實際上正在測試核心功能，同時受到這些控制的限制，並且有機會測試「開心路徑」和通過代碼「不愉快的路徑」。