帶有用戶名和密碼的HTML文件上的SSL和FTP URL

我對使用SSL證書的Web瀏覽器和服務器上的一個請求/響應有疑問。請設想以下情況（similar question here）：帶有用戶名和密碼的HTML文件上的SSL和FTP URL

我想服務器，以訪問一個文件中的FTP響應HTML的用戶（在他/她的瀏覽器），例如：

<a href="ftp://theftpserver.com/files/acounts.pdf">Download file</a>

在這種情況下，有匿名用戶訪問不會產生任何問題訪問此文件，但如果用戶使用用戶名和密碼訪問，把這個HTML，它不會是非常安全的，例如：

<a href="ftp://username:[email protected]/files/acounts.pdf">Download file</a>

我想阻止這個用戶名爲a的響應服務器和用戶之間的密碼標籤將被「Someone」捕獲並獲取用戶的用戶名和密碼。

SSL證書可以解決這個問題嗎？或者，最好的方法是創建一個只有讀取屬性的用戶名和密碼目錄？

來源

2016-10-26 amelian

是的，SSL將使它更安全，因爲您與服務器的通信將被加密。如果您有一個Web服務器（例如API端點）接收來自您的前端的請求，聯繫FTP服務器，獲取文件並使用它迴應，則會更好。這樣，前端不需要了解FTP服務器。另一個好主意是在發送密碼之前散列密碼。

來源

2016-10-26 14:26:15 Mahdi

發送之前可以散列密碼，並且可以通過FTP連接後續使用？你能告訴我更多關於散列密碼和發送之前嗎？謝謝 – amelian

@amelian，我有一臺FTPS服務器（FTP over SSL），正如Steffen所說，你無法通過瀏覽器訪問它;需要Filezilla之類的東西。當你想發送一個包含密碼的HTTP請求時，散列函數也是適用的。 – Mahdi

使用SSL服務包含密碼的頁面（即HTTPS）有助於保護頁面內的密碼。但是，您提供的鏈接適用於FTP站點，並且如果用戶遵循FTP鏈接，密碼將不受保護，因爲ftp://本身不使用SSL。雖然FTP有SSL（FTPS），但在瀏覽器中不常用，所以你不能使用它。最好的辦法是用HTTPS提供文件而不是FTP。

來源

2016-10-26 14:47:27

有趣的通訊。問題是，**可能在進程中使用FTP。我無法阻止此協議的訪問。 – amelian

@amelian：如果你使用SSL作爲HTML頁面，因爲你害怕嗅探，那麼你也許應該害怕嗅探訪問ftp：//鏈接。在這種情況下，如果對方的攻擊和第一個攻擊一樣有效並且容易，那麼確保自己不受一次攻擊是沒有意義的。 –

帶有用戶名和密碼的HTML文件上的SSL和FTP URL

回答

相關問題