我应该使用 https 托管我的整个 Web 应用程序吗？

Question

实际上我对使用 SSL 加密的唯一要求是当用户登录时，密码被加密传输。然而，在阅读了一些关于协议切换的内容后，HTTPS 会话不能作为 HTTP 会话等被接管。我一直在问自己，让整个应用程序只使用 HTTPS 是否太糟糕了。

反对它的理由是什么？您如何评价它们的重要性？另请提及：

• 我在服务器端（大致）损失了多少性能？
• 我在客户端（大致）损失了多少性能？
• 服务器/客户端还有其他问题吗？

Answer 1

反对理由：无。Internet 是不安全的网络，必须如此对待。
关于性能：
如果您的性能目标在 99% 的时间内不是 < 500 ms 响应，则 SSL 不是您的瓶颈。大多数情况下，有很多比开启 SSL 更有益的性能改进可用。

HTTPS 握手的最大性能障碍，但您可以通过以下方式迁移它：
- 开启 keepalive
- 启用 TLS 会话恢复，这可以摊销 assimetric 密码术的成本，无需会话恢复客户端在每个请求上发送证书（几 kb/s）并且服务器有做RSA解密...

为了提高客户端/服务器端的性能，减少请求/响应/压缩内容等的数量更为重要。

如果您的服务器和客户端软件没有过时，那么 SSL 应该没有问题，除了服务器上的证书/信任链安装和更新证书......

请记住，99% 的 Web 应用程序都是 I/O，而不是 CPU 限制，因此 SSL 将仅使用其他空闲的服务器 CPU 周期。