在不安全的文档中保护iframe？

Question

我正在为一个体育中心建一个网站。注册是通过第三方软件程序处理的。可以选择直接通过第三方的网站注册，也可以使用iframes将注册表集成到我的网站中。

因为我不想把人送到另一个网站，所以我选择了iframes选项。我的问题是，我能确保人们在iframe中获得与在完全安全的第三方页面上相同的安全级别吗？

谢谢。

Answer 1

这种设计确实让你更容易使用SSLStrip。我推荐你去看莫克西·马伦斯派克演讲的视频。尽管在实践中，这样的攻击并不常见。

这个iframe不会违反OWASP A9: Insufficient Transport Layer Protection。但是，如果您计划让人们登录到HTTP站点，或者如果您正在通过HTTP传输会话id，则这将是OWASP A9的clear violation。

简而言之，为了保护你的用户，https是绝对必要的。