配置网络服务器将 HTTP 和 HTTPS 流量映射到同一文档根目录是否错误？
配置网络服务器将 SSL 流量（端口 443）映射到与正常流量（端口 80）相同的文档根目录是否有问题？
对 http 和 https 使用相同的文档根意味着您需要实现以下内容：
- 在需要安全的每个页面上，需要有一些应用程序代码，如果用户以某种方式到达 http 版本，则将用户重定向到 https 版本（或者如果用户没有会话，则将用户重定向到登录页面）。
- 登录页面总是需要重定向到https版本。
- 对于可通过 http 和 https 访问的页面，您需要设置规范 URL 以确保它不会看起来像有重复的内容。
有没有更好的方法来配置用户帐户页面的加密？是否有将网站分为 HTTP 和 HTTPS 部分的最佳实践？
Is there anything wrong with configuring a webserver to map SSL traffic (port 443) to the same document root as normal traffic (port 80)?
Using the same document root for both http and https means you need to implement the following:
- On each page that needs to be secure, there needs to be some application code that redirects the user to the https version if they somehow got to the http version (or to rediect the user to the login page if they have no session).
- The login page always needs to redirect to the https version.
- For pages that are accessible via both http and https, you need to set a canonical URL to ensure it doesn't appear like you have duplicate content.
Is there a better way to configure encryption of user account pages? Is there a best practice to separate website into HTTP and HTTPS sections?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（3）
这样做不一定错误，但正如你的观点1..3所示，它会带来复杂性。在我看来，设置一个单独的文档根可能比解决复杂问题要简单得多。
It's not necessarily wrong to do this, but as your points 1..3 show, it introduces complications. It seems to me that setting up a separate document root might be a lot simpler than working around the complications.
在 Internet Information Server 7.X 中，您可以定义使用 HTTPS 访问所需的“安全路径”，并且可以将用户重定向到用户友好的错误页面。
也许这可能是混合文档根并保证应用程序部分安全的一个很好的解决方案。
In Internet Information Server 7.X you can define a "secure path" which is require to access with HTTPS and you can redirect the user to a user-friendly error page.
Maybe this can be a good solution to mix the document root and keep parts of the application secured.
自动将 http 重定向到 https 会导致中间人攻击，因此不建议这样做。中间人可能会操纵您的 HTTP 流量，将您发送到与您的 HTTPS 内容相似的恶意 HTTPS 站点。
Redirecting http automatically to https allows for man-in-the-middle attacks and is therefore not recommended. A man-in-the-middle could manipulate your HTTP traffic to send you to a malicious HTTPS site that resembles your HTTPS content.