ASP.NET SSL 身份验证票证安全吗？
我打算在登录表单上使用 SSL，以便在用户登录期间对用户名和密码进行加密。
但是，在用户经过身份验证后，如果我返回 HTTP，则每次请求时身份验证 Cookie 都会从客户端传递到服务器。这有多安全？显然，我将在用户输入敏感信息的页面上使用 SSL，但在大多数情况下，出于性能原因，我只希望它们保持身份验证并使用 HTTP。
我注意到，如果我在 web.config 的表单身份验证部分中设置 RequiresSSL="True"，那么如果我使用 HTTP，则不会通过身份验证 cookie，因此我无法识别当前用户。
我想我的问题是：
“设置 RequiresSSL="false" 并允许身份验证 cookie 通过 HTTP 传递是不是不好的做法”？
I intend to use SSL on the login form so that the username and password is encrypted during user login.
But, after the user has been authenticated, if I return to HTTP, the Autentication Cookie will be passed from client to server on each request. How safe is this? Obviously i'll use SSL on pages where the user is entering sensitive information, but for most of the time, for performance reasons, i'll just want them to remain authenticated and use HTTP.
I note that if I set RequiresSSL="True" in my forms authentication section in web.config then the authentication cookie is not passed if I use HTTP so I cannot identify the current user.
I guess my question is:
"Is it bad practice to set RequiresSSL="false" and allow the Authentication cookie to pass over HTTP"?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
如果您设置
protection="All"，表单身份验证 cookie 会被加密并使用服务器的机器密钥进行校验，因此返回到 HTTP 并不是特别糟糕。The forms authentication cookie is encrypted and checksumed with the machine key for your server if you set
protection="All", so it's not particularly bad to drop back to HTTP.