php – 安全弹出登录可能吗？

发布时间：2020-12-13 17:40:22 所属栏目：PHP教程来源：网络整理

导读：我有一个隐藏在每个页面上的登录表单,并在需要时显示自己onClick而不是设置新的页面请求. 我注意到,为了使登录真正安全,表单操作应该指向https页面,但登录表单本身应该在https页面上. 有没有办法让弹出式登录表单安全无需整个网站https？解决方法在http：/

我有一个隐藏在每个页面上的登录表单,并在需要时显示自己onClick而不是设置新的页面请求.

我注意到,为了使登录真正安全,表单操作应该指向https页面,但登录表单本身应该在https页面上.

有没有办法让弹出式登录表单安全无需整个网站https？

解决方法

在http：//页面上使用(理论上)https：//的 AJAX弹出窗口(或iframe)会出现两个问题：

>攻击者可以拦截该页面并用自己的链接替换该链接.
>这可以防止用户检查它所连接的站点.

第一个问题与this question有关(不是特定于AJAX弹出窗口,而是通过普通HTTP登录页面,also discussed on Security.SE).这与this OWASP recommendation相反：

The login page and all subsequent authenticated pages must be
exclusively accessed over TLS. The initial login page,referred to as
the “login landing page”,must be served over TLS. Failure to utilize
TLS for the login landing page allows an attacker to modify the login
form action,causing the user’s credentials to be posted to an
arbitrary location.

从本质上讲,MITM可以修改您用来服务该登录框的页面以用它们自己替换它：用户将无法注意到差异(至少在它为时已晚).

第二个问题是,看到你已经连接(并且还要连接下一步)到地址栏中你想要的网站,这实际上是一件好事.任何人都可以拥有有效的https：//站点：mybank.example.com和attackers.example.com都可以拥有受信任机构颁发的有效证书.
如果我连接到我的银行,我想知道我的银行是通过HTTPS连接的.从弹出窗口或iframe向https：//站点发送凭据会隐藏真实的目标网站.

当初始页面通过HTTPS提供时,也会发生此问题,不幸的是3-D Secure system(这些人应该知道更好,真的！).

简而言之,不要使用iframe或弹出窗口,并且通过HTTPS提供登录表单的页面.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!