是否有任何理由不在通过http提供的页面上提供https内容？

Question

我目前在只能通过https访问的域上提供图像内容.在通过http访问的页面上使用https路径提供图像的缺点是什么？有任何缓存注意事项吗？我正在使用HttpRuntime.Cache对象来存储从数据库中检索的绝对图像路径.

• 我假设如果图像只能通过https访问,那么使用协议相对URL没有任何好处吗？

• 有没有令人信服的理由为什么我应该设置一个单独的虚拟目录来通过http提供图像内容？

Answer 1

• 如果在HTTP页面中通过HTTPS提供的内容不是特别敏感,并且同样可以通过HTTP提供服务,则没有任何缺点(可能是一些性能问题,不一定很多,并且缺少缓存,具体取决于服务器的配置方式:你可以缓存一些HTTPS内容).

• 如果通过HTTPS的内容服务器足够敏感以激励HTTPS的使用,这是非常糟糕的做法.

  检查HTTPS是否正确使用和使用完全由客户端及其用户负责(这就是为什么从HTTP到HTTPS的自动重定向仅部分有用的原因).虽然其中一些与证书验证的技术性有关,但HTTPS提供的许多安全性来自用户:

  1. 期望使用HTTPS(否则很容易降级),
  2. 能够验证证书的有效性:绿色/蓝色条,对应于它们期望的主机名.

  从技术角度来看,第一点可以通过HTTP严格传输安全性来解决.

  第二个需要使用互动.如果您访问银行的网站,它不仅必须是具有有效证书的网站,而且您还应该检查它确实是您银行的域名,例如.

  在HTTP页面中嵌入HTTPS内容会使此失败,因为用户无法检查正在使用的站点,并且实际上根本使用了HTTPS.在某种程度上,在HTTPS页面中嵌入来自第三方的HTTPS内容也会出现此问题(这是3-D Secure的问题之一,可能使用HTTPS提供,但使用iframe不会产生哪个站点实际上是可见的.)