从HTTP到HTTPS的POST是否安全?

不,特洛伊·亨特认为 man-in-the-middle attack 这表明,从HTTP发布到HTTPS绝不是安全的。随着免费WiFi的普及,这种攻击的执行将非常简单。

http://www.troyhunt.com/2013/05/your-login-form-posts-to-https-but-you.html

然而,用户可能会担心表单页面上的浏览器中没有锁定图标。从可用性的角度来看,如果两个页面都是HTTPS,您可能会更好。

对。只要需要安全的请求是https,就可以了。

别这样!

考虑一个MITM攻击,攻击者坐在服务器和客户端之间的线路上,在登录表单到达客户端之前修改它。登录表单现在包括一个密钥记录器,或者将POST操作指向一个仿冒页面,而不是真实的服务器。对于最终用户没有警告或UI提示,所以他们继续提交表单。

参考文献:

• TLS and SSL in the real world
• SSL Strip
• Your login form posts to HTTPS, but you blew it when you loaded it over HTTP
• Is it secure to submit from a HTTP form to HTTPS?

我想你的问题是,在发帖之前,客户端的东西在阅读表单。这当然是可能的,不管是不是HTTPS。

不过,另一个注意事项是,您可能应该对实际表单使用HTTPS。有些浏览器在用户的帖子被重定向到HTTP/HTTPS边界时发出警告。另外,我认为你的用户不会乐意填写一个没有安全图标显示的表单。