不安全和安全的HTTP

Question

我有一个应用程序使用2个网站（所以我想这是2个应用程序...）。用户通过https网站登录，然后在成功登录时使用表单身份验证转向不安全的http网站应用程序。我（和其他人）已经开始收到消息

“当前网页正在尝试在您的可信站点列表中打开站点，您是否允许这样做？”

当用户被重定向。

有没有办法在服务器配置或代码中停止它？

感谢

Answer 1

我想你在登录时做的是后从安全页面到非安全页面，这反过来会弹出消息中的登录信息。

你可以做的是让安全登录过帐到安全页面，然后从那里重定向到非安全页面。这应该删除该消息。

Answer 2

该消息似乎是IE的受信任站点警告。无法从远程服务器控制它，也不应该存在安全风险。

Answer 3

如果用户对“不安全站点”上执行的任何操作负责，则不应对其进行解密。使用HTTPS对用户进行身份验证并不安全，然后让他们通过HTTP执行使用该身份验证的操作。

如果有人不担心中间人，他们根本无法使用HTTPS。另一方面，如果中间人攻击是可能的（并且通常我认为是这样），那么通过安全通道上的安全登录获得的会话标识cookie（或其他证书）允许攻击者窃取并伪造对该服务的请求。