HTTPS應該用於涉及授權的所有呼叫

Question

使用HTTPS進行身份驗證很常見，因此客戶端的身份驗證詳細信息無法被嗅探。但是，一旦用戶登錄後，隨後對Web應用程序的調用會傳遞某種身份驗證ID，然後該Web應用程序將使用該身份驗證ID進行授權，但這應該不是HTTPS？ Facebook如何做這件事？似乎更容易使所有流量HTTPS。

Answer 1

傑夫·阿特伍德的回答：

http://www.codinghorror.com/blog/2012/02/should-all-web-traffic-be-encrypted.html

Answer 2

假設服務器可以處理它，我走了一步，並使用SSL 一切，無論用戶登錄或不。

這樣做的好處是竊聽者甚至不知道用戶是以訪客身份還是以經過身份驗證的用戶身份訪問您的網站/應用。它還可以讓您不必決定何時使用SSL，什麼時候不使用SSL。