什麼時候我們知道完全使用SSL？

我正在開發的應用程序（包含註冊/登錄的簡單系統，1個數據庫，CRUD）位於具有SSL證書的域中（當使用https粘貼URL時出現掛鎖）。這是否意味着SSL將被使用，我不需要添加任何代碼到我的應用程序？什麼時候我們知道完全使用SSL？

2013-10-15 van_folmert

那麼，嘗試粘貼一個沒有'https：//'的URL。你是否重定向到HTTPS版本？此外，[嘗試此測試]（https://www.ssllabs.com/ssltest/index.html）。 – Ryan

不，這並不意味着只會使用SSL。從「http：//」而不是「https：//」調用網址時，您的網站是否也可以訪問？通常，Web服務器的工作是通過配置和URL重寫進行管理，而不是應用程序代碼的責任。 –

還沒有。好吧，據我瞭解，我需要做的就是禁止來自'http：//'的訪問，而是將'http：//'請求重定向到'https：//'？ –

您無法確定服務器端是否正在使用SSL。當然，您可以設置您的Web服務器拒絕HTTP連接或將它們重定向到HTTPS（這通常在Web服務器中設置，而不是在應用程序中設置）。但是，除非您需要您的客戶提供證書，否則此設置不會阻止中間人攻擊。攻擊者可以設置只接受來自客戶端的HTTP連接的代理，然後通過HTTPS連接到服務器。

請參閱sslstrip以獲得實際的成功實施此次攻擊的信息。

來源

2013-10-15 13:47:38

+1如果瀏覽器支持，一種緩解這種情況（無客戶端證書）的方法是使用HSTS。 – Bruno

什麼時候我們知道完全使用SSL？

回答

相關問題