【发布时间】：2011-06-07 12:37:01
【问题描述】：
HTTPS 作为 (HTML) 表单的操作是否足以对表单数据进行 SSL 加密以供提交？
或者托管表单的页面也必须是 HTTPS？
【问题讨论】：
-
我问是因为我看到 Twitter 的“登录”弹出框从 HTTP 页面启动，但对 HTTPS 页面执行操作。让我想知道大声笑
【发布时间】：2011-06-07 12:37:01
【问题描述】：
如果托管表单的页面不是通过 HTTPS 提供的，那么它可以在途中被拦截和修改。这些修改可能包括更改表单的操作，或添加 JavaScript 以在正常提交表单之前将数据发送给第三方。
通过 HTTPS 提交表单不足以保护数据。表格也需要以这种方式交付。
【讨论】：
表单操作上的 HTTPS 足以加密表单提交。
托管表单的页面不必使用 HTTPS，尽管它有助于让用户相信他们的数据是安全的。
保护托管页面的另一个好处是表单不能被中间人欺骗或更改。
【讨论】：
-
虽然它有效，但有很多不这样做的理由，正确的答案是有可能不这样做，因为用户不知道。
-
@stephbu：同意 - 我在回答中列出了其中两个原因。
-
呵呵 - 我的原始评论被截断了 - 我会说我会投票给 @stian，因为更新，但您以客户为中心的理由要准确得多。
-
“其他好处”是轻描淡写的！如果表单动作被欺骗，那毕竟有HTTPS。所以它不够足够。
只要你想挥动魔法加密仙尘就足够了。如果您想真正安全，这还不够。任何中间人攻击都可以简单地重写表单 HTML 以发布到恶意服务器。
【讨论】：