第三方可以讀取HTTPS POST數據嗎？

Question

如果我通過安全的HTTPS AJAX POST登錄用戶，這是否意味着HTTP POST的主體是加密的，因此是安全的？

Answer 1

這取決於你想防範什麼（威脅應該減輕）。

HTTPS是客戶端（本例中爲瀏覽器）和服務器之間的安全通道。這意味着在客戶端和服務器上擁有足夠權限的任何人都可以讀取數據，因爲這些是HTTPS所在虛擬管道的末端。實際上，客戶端或服務器上的任何管理員都可以讀取傳輸的數據，但中間人攻擊者（中間網絡中的某個人）不能這樣做，HTTPS可以抵禦這種攻擊（只有這樣，儘管它不僅僅是機密性HTTPS提供，但這是一個單獨的主題）。

更重要的問題是，如何將用戶名和密碼放入ajax請求的主體？這意味着你不得不在客戶端的某個地方存儲這樣的用戶名和密碼，這在很可能不是很安全的地方。例如，任何一次成功的XSS攻擊都可以向攻擊者揭示這些證書。這可能是我在這種情況下主要關心的問題。