SSL为Web服务提供哪些保护？

Question

我有一个大量使用JSON服务的ASP.NET网站。基本结构是：jQuery插件 - ＆gt; JSON服务 - ＆gt;服务器端BAL。

但是，此解决方案显然不安全，因为恶意用户可以运行Fiddler等工具并在其计算机上捕获JSON调用，然后重播这些JSON调用更改参数等。

如果我将网络服务文件夹放在SSL下，它会给我什么保护？我尝试将整个站点放在SSL下，但仍然运行Fiddler我可以看到明文消息转到HTTPS协议，我可以使用相同或更改的参数重播来自Fiddler的那些消息。

我显然对SSL知之甚少，需要一些帮助。听起来我的SSL设置不正确，还是能够通过Fiddler看到SSL流量？如果是后者，SSL在我的场景中提供了哪些保护？

谢谢。

Answer 1

如果Bob在他的网站上实施SSL，那么当Alice使用该网站时，Mallory将无法拦截数据或在飞行中更改数据。 SSL在Alice的浏览器和Bob的服务器机密之间保留消息。它不会在Alice和Alice的浏览器之间保留消息。

您可以采取两种方法来保护自己免受恶意数据攻击。

1. 在将其插入其他格式之前逃避（或等效）所有内容。例如在SQL上使用预准备语句，使用JSON序列化程序构建JSON而不是字符串混搭等
2. 对用户进行身份验证，仅接受来自您信任的用户的数据

Answer 2

SSL仅加密传输。这意味着第三方无法窃听客户端与服务器之间的数据交换。它不会向服务器或服务本身添加任何安全功能。

您需要的是正确的身份验证，权限和验证系统。需要检查每个请求的有效性。准备好接收任何类型的参数的任何类型的请求，因为用户摆弄参数，因为你的代码中的错误或其他什么。如果请求无效，则意味着如果不允许特定用户执行某项操作，请拒绝该请求 这不是您可以实施的一些插件技术，它是您服务的核心设计考虑因素。