为什么只使用 SSL 保护一个页面而不是整个网站被认为是不好的做法

Question

我知道使用 SSL 保护所有页面会减慢网站速度并增加服务器资源的开销。

我还看到许多其他网站只保护他们的登录和注册页面，我也想在运行 apache 的服务器上这样做。

为什么只保护输入用户密码的页面而不是整个站点被认为是不好的做法？

另外，https://mysite.com/login.php我应该以这种方式更改为 https ，而不是使用类似的东西：https://secure.mysite.com/login.php？

Answer 1

Cookie 安全性是我为您的方法指出的主要内容。

登录到您的安全登录页面的用户会为他们的会话获取 cookie，对吗？然后，该 cookie 以纯文本形式传输，供监视线路的人 ( Firesheep ) 拦截和窃取会话。

在协商时间和来自 SSL 的 CPU 负载方面有额外的开销，但它相当小。如果您的网站上有任何敏感信息，只需在任何地方使用 SSL。