使用不同的证书从一个 https 页面移动到另一个页面

Question

想象一个沼泽标准的注册页面，它捕获一些用户信息，如姓名、地址等。 它上面有一个“立即购买”按钮，可以转移到支付网站（WorldPay）。

现在，要求一切都应该是安全的，这意味着（如果我错了，请纠正我）

A) 我需要在 IIS 上获取并安装 SSL 证书。

B) 然后我需要确保注册页面的安全（看看到底如何做到这一点，但如果有人想让我知道那就太棒了！）

所以，假设注册页面现在是在一个证书下的 https，是否有任何到底有什么原因导致重定向到 WorldPay（在 SSL 下但在不同的证书下）应该出现问题？

我无法想象为什么，我不会通过 AJAX 或任何其他方式执行此操作（请参阅 从 HTTP 页面通过 AJAX 进行 HTTPS 请求），但有时这些东西可能会咬你！

谢谢 邓肯

Answer 1

我可以预见的唯一问题是，如果您有来自 https://mysite.com/ 的直接表单 POST到 https:// payment.net/ 您的用户很可能会看到一个警告页面（FF3.5 显示“类似场景中的“不受信任的连接” - 它是为了阻止网络钓鱼攻击）。 一种可能的解决方案是将 mysite.com 表单提交到 mysite.com 域，然后在那里设置一个控制器或类似的东西，将用户重定向到 payment.net。 （但是，您要注意，不要通过在 URL 上公开用户的私人信息来随意处理该信息。）

我的猜测是，您的支付网站需要经常处理这个问题。 我建议联系他们，了解他们是否有处理 SSL、警告等的具体建议。

Answer 2

使用相同的协议 (https) 从一个域重定向到下一个域应该不会有问题。 然而，有时病毒软件会将这种重定向检测为“网络钓鱼”，但如果 WorldPay 是值得信赖的来源，那么您应该没问题。 您是否正在尝试将用户数据传递给 WorldPay，或者只是使用 WorldPay 作为您的支付引擎？ 切换域时，我不会开始通过 POST/GET 变量传递任何用户信息。

注册页面的答案是，您需要强制使用 https（最好是从代码隐藏），以便用户可以使用 SSL 加密输入其帐户信息并看到可靠的锁定图标；）。

编辑：代码示例

 if (HttpContext.Current.Request.Url.AbsoluteUri.ToLower().StartsWith("http://"))
{
   Response.Redirect(HttpContext.Current.Request.Url.AbsoluteUri.Replace("http://", "https://"));
}

要获取证书：在 IIS 中，转到网站记录的属性，单击安全选项卡，然后单击服务器证书。 完成逐步过程，直到准备好证书请求发送给证书签名机构（GeoTrust、Verisign 等）。一旦您从他们那里取回证书请求，您的证书请求就可以完成，您的 https 也将正常工作。

另外，请检查您的 SSL 软件是否已更新。 这应该满足要求。 不过，我也会联系 WorldPay，以确保您遵守标准。