即使所有数据都通过 HTTPS 提供，AWS 证书也“不安全”

Question

我正在为我的学校构建一个 web 应用程序，它需要一个登录功能。因此，我希望使用 HTTPS 来保护密码。目前该页面从我的域加载了 HTTPS，但是当我向 AWS 发送请求时，我收到了不安全的错误，即使所有 AWS 请求都是通过 HTTPS 提供的。数据已成功发送和接收，但似乎并不安全。

这几天我一直在用头撞墙。我有一点预感，这个错误来自没有在前端和后端使用相同的证书，但我似乎无法理解这应该如何工作。

我希望在没有 chrome 从“安全”变为“不安全”的情况下接收数据。

我的页面是 led.s0rensen.no。 （对不起，它是挪威语）当您最初加载页面时，它是安全的，但是当您按“Styret”、“Samarbeidspartnere”或“Logg inn”时，它会向 AWS 发送请求并立即切换到“不安全”。在“Samarbeidspartnere”路线中，所有数据都按原样显示，但状态仍变为“不安全”

我真的很感激能得到一些帮助，最重要的是，也许我终于可以理解这些证书是如何工作的了。谢谢！

Answer 1

目前有两个问题。

1. 您使用https://ledtest-dev.eu-west-3.elasticbeanstalk.com/api/isLoggedIn 登录表单，您无法获得elasticbeanstalk.com 的证书，因此您需要有类似login.s0rensen.no（CNAME 到ledtest-dev.eu- west-3.elasticbeanstalk.com) 并拥有来自 ACM 的 login.s0rensen.no 证书或 Lets encrypt 等。

2. 上述问题也会导致 CORS 问题，因为 cors 来源 ledtest-dev.eu-west-3.elasticbeanstalk.com 未在选项请求中提供 CORS 标头。一旦将其更改为 login.s0rensen.no，这也应该可以解决 cors 问题和 cert 问题。

另外，请检查您的代码，看看您是否没有任何带有 http 参考的 css、js 等。

Answer 2

我检查了您的网站https://led.s0rensen.no./，问题不在于 AWS/Chrome，而在于 SSL 证书本身及其缺少的根证书。

SSL证书分为3部分

1. 根证书：CA 证书
2. 中级证书
3. 实际证书：带域名的证书。

在添加证书时，您需要创建所有三个证书的捆绑包然后应用它。

我了解您正在使用 node.js，对于 node.js，下面的链接提供了有关如何添加捆绑证书的详细信息。

https://cheapsslsecurity.com/blog/how-to-install-ssl-certificate-on-node-js/

如果您没有根证书，则可以从任何 CA 提供商处购买 下面提供了 CA SSL 证书提供者的列表。

https://www.sslshopper.com/certificate-authority-reviews.html

否则，您可以通过 route53 托管站点来使用 aws 域，但它只会附带 aws 域。

Answer 3

问题：

我设法在 AWS 上制作了一个证书，但由于两个不同的域名，我从 led.s0rensen.no 到 AWS (*.elasticbeanstalk.com) 的请求被认为不安全。所以 s0rensen.no 上的证书不能保证 AWS。

解决办法：

我为我的所有 API 需求设置了另一个子域，并将其指向 AWS。所以现在我的请求是从我的前端（led.s0rensen.no）到一个指针（ledapi.s0rensen.no）。因为它们在同一个域上，而我的证书现在是 *.s0rensen.no，它们可以在同一个证书上工作，漂亮的绿色锁保持不变。