安全文件上傳不使用https（ssl層）

Question

我是PHP開發人員，我對https/ssl知之甚少，但我想提供我的客戶端最安全的方式將文件上傳到網頁（即webftp as頁面上的客戶服務的一部分）。

我應該怎樣看待？

預先感謝您，如有需要我會澄清我的問題。

Answer 1

我可能會讓你失望，但是如果沒有HTTPS或其他形式的加密，所有通過網絡傳遞的數據都是明文 - 這也適用於FTP。 （換句話說，實際上不可能驗證服務器收到的數據實際上來自客戶端，並且沒有被修改。）

HTTPS證書有效並且相對簡單使用，加上它可能是目前安全*簡單性（從HTTP到HTTPS切換URL，不需要終端用戶的其他配置）方面的最佳解決方案。使用有效的 SSL證書，客戶端可以合理確信他們正在與您的站點通信，並且數據在傳輸過程中被加密。換句話說，有更安全的（但更復雜的）備選方案（如加密的VPN），並且有更簡單的（但不太安全的）備選方案（如簡單的HTTP）。完成正確的HTTPS是爲了通用網站的安全性和簡單性的正確組合。 （OTOH，如果你想保護絕密文件NSA，HTTPS是絕對不夠的）

Answer 2

對不起，瀏覽器本身不提供替代品，替代發送純文本文件或發送它通過加密HTTPS。

唯一的選擇是使用某種客戶端插件（例如Java Applet），它會在發送文件之前對其進行加密（作爲獎勵，您可以在文件被加密和發送前進行壓縮）。但是，這種解決方案通過要求安裝插件來阻礙兼容性，因爲存在基於SSL/TLS的HTTP（HTTPS），該解決方案要複雜得多並且最終變得不必要。