当您可以保护服务器 (IIS) 时，为什么还要使用 HTTPS 保护网站？答案

【问题标题】：Why would you secure a website with HTTPS when you can secure the server (IIS)?当您可以保护服务器 (IIS) 时，为什么还要使用 HTTPS 保护网站？
【发布时间】：2016-01-15 18:43:22
【问题描述】：

在How to make a website secured with https 发布的问题之后，我的问题来自 SSL 信息溢出。

A 已经看到很多用 ASP.NET Web API 或 MVC 编写的网站示例，它们以编程方式将 HTTPS 授权嵌入到网站中。我也知道如何在 IIS 上启用 HTTPS。

我正在开发一个网站并将 HTTPS 放入我的控制器中。在我在pluralsight.com 上观看的视频之后，我在WebAPI 上为我的网站添加了HTTPS。一位同事问我为什么要花时间这样做，因为我只是在 IIS 服务器上启用它。

我不知道我为什么这样做，但我看到了两者的例子。对于初级开发人员的挫败感，我可以在服务器上启用 HTTPS 并避免未加密的连接吗？

我假设有人可以劫持服务器并颁发证书，我可以防止通过以编程方式启用 HTTPS 在我的网站上使用我的网站，除了服务器之外，它还位于客户端上。

【问题讨论】：

HTTPS 与身份验证或授权无关。
您是否将AuthorizationFilterAttribute 与RequireHttpsAttribute 混为一谈？
@ZippyV 您可以在建立 SSL 通道时使用客户端证书进行身份验证。所以“无”可能有点太强了。
你似乎在这里问了四个问题。尝试更具体。
目前还不清楚你的意思。您如何滚动自己的 HTTPS？您如何将其编程到网站中？

标签： c# asp.net iis ssl https

【解决方案1】：

网站安全和网络服务器安全是两个重叠的领域。因此，要解决您的问题，您应该研究这两个领域，看看哪些是断言风险的典型措施和补救措施。

一般来说，HTTPS 是一种加密客户端/服务器通信、验证服务器和/或客户端身份的方法。所以它属于网站安全领域。

您的同事可能只是注意到这样一个事实，即无论网站有多安全，服务器安全都是一个完全独立的区域。但您应该注意，如果网站不安全，它也可能成为托管它的 Web 服务器的致命弱点（例如，整个服务器可能因为其上的网站被黑客入侵而受到威胁）。

信息安全是一个非常复杂的概念，所以我不能用这么简短的回答来向你揭示每一个方面，但希望它能帮助你了解一些基本事实。

【讨论】：