使我所有的方法都需要 https 是个好主意吗？答案

【问题标题】：Making all my methods require https a good idea?使我所有的方法都需要 https 是个好主意吗？
【发布时间】：2013-04-09 06:24:30
【问题描述】：

我正在使用 asp.net web api，并且正在使用基本身份验证来授权我的用户。我在所有需要授权的调用上都需要 HTTPS，但是对于我不需要授权（即注册）的所有调用，我是否也应该在 https 中进行它们以保持一致性？如果我不使用 https 进行这些调用，是否会导致性能提升等。

【问题讨论】：

不是一个真正的答案，但 Troy Hunt 有一篇关于一些需要考虑的事情的博客文章：troyhunt.com/2013/04/5-ways-to-implement-https-in.html

标签： c# asp.net asp.net-web-api

【解决方案1】：

如今，HTTPS 的开销对于大多数系统来说都是微不足道的（请参阅 How much overhead does SSL impose?）。我到处都是 HTTPS 的粉丝，因为它端到端更安全，实施起来几乎没有成本，但你的里程可能会有所不同。如果您担心它可能对性能产生的影响，请实施它，然后分析您的应用，看看有什么不同

【讨论】：

【解决方案2】：

Http 提供了更高的性能，因为 https 中的加密增加了请求和响应的大小，并且加密和解密需要额外的处理。今天的机器处理https 的速度非常快，而没有任何明显的性能下降。 安全性比性能提升更重要，如果您必须通过用户名/通过注册，那么这可能是对安全性的破坏。

【讨论】：

【解决方案3】：

根据您的标签，我假设这里可能有一些 AJAX。如果确实如此，那么坚持单一访问方案会更好。否则会引入跨浏览器兼容性问题并可能引入安全漏洞。

除非您正在做诸如传输大型媒体文件/流之类的事情，否则适度的性能提升可能甚至不值得考虑。

注意：潜在漏洞超出了通过不安全连接发送敏感数据的明显情况。例如，请参阅https://developer.mozilla.org/en-US/docs/Security/MixedContent。

【讨论】：