PHP :发布到SSL -澄清？

Question

可能是很基本的问题，但在读了类似的问题和答案后，我有点困惑，所以希望能有更多的澄清。

如果我有一个不安全的页面，并且有一个发布到受保护页面的表单，提交后数据是否会被加密？

示例：http://example.com/login.php

有一个发布到安全页面的表单：

https://example.com/do.php” method=“post”> .....

这是否足以让它成为一个安全的帖子，或者初始页面也必须是安全的？没有ajax或任何东西，只有php...

Answer 1

您通过SSL发布的任何内容在传输过程中都是安全的。但这不是你的问题所在。

如果您有一个不安全的页面http://example.com/login.php，攻击者可以在用户下载它时更改页面，因为没有安全性(没有加密、没有完整性保护、什么都没有)。攻击者可以更改表单以从登录明文发送凭据。或者将其发送到攻击者的服务器。或者注入任何javascript，例如在按键被按下时将每次击键发送给攻击者。攻击者可以完全控制通过纯http下载的页面。

为什么攻击者会在下一篇文章中为加密而烦恼呢？在这篇文章发布之前，他已经掌握了所有的信息。

因此，简而言之，如果原始页面是通过纯http下载的，那么(几乎)通过ssl进行后续请求就没有意义了- ssl请求中的任何内容都可以被攻击者知道。(请注意，某些特殊情况可能是例外，但通常情况就是这样。)

一个值得注意的例外是，当需要保护的不是请求，而是响应将在ssl交换中加密时，我认为不同的协议，https和http将被算作不同的来源，因此即使javascript被注入到原始的纯文本页面中，也很难从响应中获取信息。但这并不是login.php应该具有的功能--它必须通过https提供服务。