不安全和安全的HTTP

Question

我有一個應用程序使用2個網站（所以我想這是2個應用程序...）。用戶通過https網站登錄，然後在成功登錄時使用表單身份驗證轉向不安全的http網站應用程序。我（和其他人）已經開始收到消息

「當前網頁正在嘗試在您的可信站點列表中打開站點，您是否允許這樣做？」

當用戶被重定向。

有沒有辦法在服務器配置或代碼中停止它？

感謝

Answer 1

我想你在登錄時做的是後從安全頁面到非安全頁面，這反過來會彈出消息中的登錄信息。

你可以做的是讓安全登錄過帳到安全頁面，然後從那裏重定向到非安全頁面。這應該刪除該消息。

Answer 2

該消息似乎是IE的受信任站點警告。無法從遠程服務器控制它，也不應該存在安全風險。

Answer 3

如果用戶對「不安全站點」上執行的任何操作負責，則不應對其進行解密。使用HTTPS對用戶進行身份驗證並不安全，然後讓他們通過HTTP執行使用該身份驗證的操作。

如果有人不擔心中間人，他們根本無法使用HTTPS。另一方面，如果中間人攻擊是可能的（並且通常我認爲是這樣），那麼通過安全通道上的安全登錄獲得的會話標識cookie（或其他證書）允許攻擊者竊取並僞造對該服務的請求。