谷歌应用程序引擎和HTTPS战略

Question

我正在设计我的第一个GAE应用程序，显然需要使用HTTPS的登录功能（不能发送我的用户的UID和密码在明文！）。

但是我对第一次登录后如何处理请求感到困惑/紧张。我看到它的方式，我有2种策略：

• 使用HTTPS的一切
• 从HTTPS（用于登录）为纯OLE” HTTP

第一个选项是更安全的切换回来，但可能会导致性能开销（？）并可能通过屋顶发送我的服务帐单。第二种选择更快，更容易，但不太安全。

这里的另一个因素是，这将是一个“单页的应用程序”（使用GWT），以及UI的某些部分将能够接受支付，并要求财务数据的安全传输。所以一些AJAX请求可能是是HTTP，但是其他必须是是HTTPS。

那么请问：

• GAE有一个漂亮的表解释呼入/呼出的带宽资源，但从来没有具体规定多少I/O带宽可专用于HTTPS。有人知道这里的限制吗？我打算使用“帐单已启用”并为应用付费（并为更高的资源限制）。
• 是否有可能有一个GWT /单页应用程序的一部分用户界面使用HTTP而其他人使用HTTPS？或者是“全部或全部”？
• 是否有任何real性能被偷听到利用全HTTPS策略？

了解这些将帮助我在HTTP/S混合解决方案或纯HTTPS解决方案之间做出决定。提前致谢！

Answer 1

如果您开始混合使用http和https请求，您就像使用http一样安全，因为任何http请求都可以被拦截，可以引入可能的XSS攻击。

如果你是认真对待您的安全阅读起来就可以了，假设你只需要HTTPS的敏感数据和发送与HTTP其余会给你带来了很多麻烦。

Answer 2

You pay for http and https传入带宽相同，您应该会看到实例小时内的任何差异。唯一不同的是您需要为SNI或VIP付费的one time pay（每月）