在 SSL 中的无 cookie 域上提供静态内容是否明智？

Question

我很早就阅读了有关“使用无 cookie 域”的内容，也就是创建一个可以在 1 个子域中提供 css、js 和图像的子域。

但是，我们 99% 的网站都是通过 ssl 提供服务的，而且 ssl 证书可能很昂贵。

因此，如果我们创建了这个无 cookie 的子域，并且为了避免出现“此页面包含安全和非安全项目”的错误，我们必须在无 cookie 的子域上设置 ssl。

你们有没有做过类似的事情？

设置第二个 ssl 子域来托管我们所有网站的所有 css、图像和 javascript 真的值得吗？

谢谢。

Answer 1

没有。

如果您使用 HTTPS，您可能还可以使用 HTTP/2，这样可以避免不必要地重新发送 cookie，因此问题就消失了。

首次打开与域的新 TLS 连接会产生大量成本，因此您使用的域越多，您支付的首次连接开销就越多。

除非您的 cookie 非常大或您有大量请求，否则建立额外 TLS 连接的成本可能会大于在已打开的连接上发送 cookie 的成本。

---

顺便说一句：使用 HTTPS 时，请务必添加明确允许缓存的 HTTP 标头（例如 Cache-Control:public, max-age=604800），否则浏览器可能不会缓存任何内容并浪费带宽一遍又一遍地重新下载文件。