如果我使用http作为我的网站的一部分，而使用https作为另一部分，这会打开任何安全问题

Question

我有一个node.js应用程序。

我已将它配置为将所有内容都重定向到http。

但我想如果额外的工作，使正常页面上可见的http和登录页面只能通过https可见，将是值得的努力。

确实在我的应用程序中都暴露了任何安全漏洞？

Answer 1

有多个，其中包括：

1. Cookies是，除非你要记住，这两个站点之间共享的“安全”属性每次设置cookie。
2. 您很容易受到MITM攻击（例如，替换http上的“登录”链接以使您保持http或将您重定向到另一个站点）。
3. 资源需要通过安全站点上的https加载，否则您将收到混合安全警告。运行混合网站时很容易忽略这一点。
4. 用户不知道页面是否应该安全。
5. 可以忘记更新证书和/或查看证书错误，但如果整个站点都是https，这应该更明显。
6. 无法使用HSTS等高级安全功能。

这就是我的头顶。

到处都是https，并将所有http流量重定向到https。除非你有充分的理由不这样做。谷歌认为这是两个网站，更容易管理网站，Chrome很快就会阻止访问某些功能，比如http上的位置跟踪功能，无法升级到其他功能。 HTTP/2直到你实现https ...等）。