从HTTP客户端安全HTTPS事务

Question

从架构中，是否可以拦截不记名令牌，登录名和md5哈希密码？

我是否还必须使用HTTPS让客户端使用REST API保护这些事务/交换？

Answer 1

这取决于您的架构发生的位置。因此，如果它发生在VPN连接中，则可能不需要进一步加密通信。

假设您的客户以“标准”方式访问“登录”页面，例如你以后有一个登录页面，你希望能够从任何计算机访问任何webbrowser，这可能是你正在寻找的东西（然后深入研究细节）：

登录名/密码：

如果客户端将这些信息提供给HTTP页面而不是HTTPS页面，则无论您以后如何处理该数据，都可以将其截取为明文。

令牌

上面的图表显示您正在获取登录凭据，制作密码的md5哈希并将该信息转发到HTTPS安全页面，该页面可以返回令牌（如果凭据错误则不会）。

然后，HTTPS安全系统会将令牌发回给您，您将通过HTTP将其发送到客户端，因此其明文也可以被截获。

你可能想要什么：

让客户端建立与登录页面的HTTP安全连接，提供HTTP安全登录凭据，如果这些有效，则在已建立的HTTP安全连接中重新获取令牌。