通過SSL登錄，但在非SSL頁面上顯示帳戶名稱？

我正在用用戶帳戶建立一個網站。我希望用戶的名字顯示在頂部，同時能夠通過下拉菜單檢查他們的收件箱，這些下拉列表將通過AJAX進行更新和刷新。對於用戶登錄，他們將在另一個由AJAX支持的下拉框中輸入他們的用戶名和密碼。我還會有一個特定的頁面，可以使用SSL，通過PayPal和BitPay銷售商品。通過SSL登錄，但在非SSL頁面上顯示帳戶名稱？

我想用SSL對此進行覈實。但是，使所有頁面都使用SSL是不可行的，因爲我打算使用的CDN不支持以我願意支付的價格支付的SSL，因爲我希望允許用戶嵌入圖像和YouTube視頻，到第三方HTTP資源。

所以我的問題：是否有可能允許用戶通過SSL安全地通過SSL登錄？（AJAX請求會得到保護，但不會顯示登錄表單的頁面。）它必須能夠顯示其帳戶名稱並通過不安全的連接編輯其帳戶設置？ Cookie如何處理這個問題？

來源

2014-02-07 Keavon

您可能會在security.stackexchange.com上得到更好的答案，但總而言之：您可能會在http和https之間共享cookie。但是，您不應該將任何信息關聯到cookie，這可能會被攻擊者濫用，因爲cookie可以在使用http而不是https時被嗅探，然後被攻擊者重新利用來劫持會話（以及身份）。因此，對於嚴重的問題，您應該擁有另一個不同的安全（例如https-only）cookie。一個很好的信息來源也是OWASP，例如https://www.owasp.org/index.php/Session_Management_Cheat_Sheet

來源

2014-02-07 06:38:03

通過SSL登錄，但在非SSL頁面上顯示帳戶名稱？

回答

相關問題