Google App Engine 和 HTTPS 策略答案

【问题标题】：Google App Engine and HTTPS StrategyGoogle App Engine 和 HTTPS 策略
【发布时间】：2012-08-11 11:18:57
【问题描述】：

我正在设计我的第一个 GAE 应用程序，显然需要使用 HTTPS 来实现登录功能（不能以明文形式发送我的用户的 UID 和密码！）。

但我对如何在初始登录后处理请求感到困惑/紧张。在我看来，我有两种策略：

第一个选项更安全，但可能会引入性能开销 (?) 并可能使我的服务帐单飞涨。第二种选择更快、更容易，但安全性较低。

这里的另一个因素是，这将是一个“单页应用程序”（使用 GWT），用户界面的某些部分将能够接受付款，并且需要安全传输财务数据。所以一些 AJAX 请求可以是 HTTP，但其他的必须是 HTTPS。

所以我问：

GAE 有一个漂亮的表格来解释传入/传出带宽资源，但从未具体定义可以为 HTTPS 分配多少 I/O 带宽。有人知道这里的限制吗？我计划使用“启用计费”并为该应用支付一点费用（以及更高的资源限制）。
是否可以有一个 GWT/单页应用程序，其中 UI 的某些部分使用 HTTP，而其他部分使用 HTTPS？还是“全有或全无”？
使用全 HTTPS 策略是否有任何真实性能？

了解这些将帮助我在 HTTP/S 混合解决方案或纯 HTTPS 解决方案之间做出选择。提前致谢！

【问题讨论】：

【解决方案1】：

如果您开始混合使用 http 和 https 请求，您将与使用 http 一样安全，因为任何 http 请求都可能被拦截并可能引入 XSS 攻击。

如果您认真对待您的安全性，请阅读它，假设您只需要 https 来获取敏感数据并使用 http 传输其余部分会给您带来很多麻烦。

【讨论】：

感谢@Daniel Kurka (+1) - 不过是一件事。我注意到 GMail 使用 HTTPS 进行登录，然后又恢复到 HTTP（这就是最初给我这个想法的原因！）GMail 可以以这种方式运行，但不是“正常”应用程序，有什么特别的原因吗？再次感谢！
好吧，我的 gmail 帐户没有这样做，但我想我已经看到了那种很容易被攻击的行为

【解决方案2】：

You pay for http and https 传入带宽相同，您应该看到实例小时数的任何差异。唯一的区别是您需要为 SNI 或 VIP 支付的one time pay（每月）

【讨论】：

谢谢@ShayErlichmen (+1) - 您能否确认您的意思是“您为传入带宽支付的 http 和 https 费用相同，您应该不看到任何区别...”？只是想确认 HTTPS 不会更改实例小时数或带宽利用率。再次感谢！
@pnongrata AFAIK（并看到）不，相同的实例小时相同的利用率。