想象一个沼泽标准的注册页面，它捕获一些用户信息，如姓名、地址等。 它上面有一个“立即购买”按钮，用于转移到支付网站 (WorldPay)。
现在，要求是一切都应该是安全的，这意味着（如果我错了，请纠正我）
A) 我需要在 IIS 上获取并安装 SSL 证书。
B) 然后我需要确保注册页面的安全（看看具体如何做到这一点，但如果有人想让我知道，那就太好了！）
所以，假设注册页面现在是一个证书下的 https，是否有任何理由表明重定向到 WorldPay（在 SSL 下但在不同证书下）存在问题？
我无法想象为什么，我不会通过 AJAX 或其他任何方式执行此操作（请参阅 HTTPS request via AJAX from HTTP page），但有时这些事情会咬你！
谢谢 邓肯
【问题讨论】：
我可以预见的唯一问题是，如果您有从https://mysite.com/ 到https://payment.net/ 的直接形式 POST，您的用户很可能会看到一个警告页面（FF3.5 在类似情况下显示“不受信任的连接” - 它可以阻止网络钓鱼攻击）。一种可能的解决方案是将 mysite.com 表单提交到 mysite.com 域，然后有一个控制器或类似的东西将用户重定向到 payment.net。 （但是，您需要注意的是，您不会通过在 URL 上公开用户的私人信息来玩弄它。）
我的猜测是，您的支付网站需要经常处理这个问题。我建议与他们联系，了解他们是否有关于处理 SSL、警告等的具体建议。
【讨论】：
使用相同的协议 (https) 从一个域重定向到下一个域应该没有问题。但是，有时病毒软件可以将这种重定向检测为“网络钓鱼”，但如果 WorldPay 是可信赖的来源，您应该没问题。您是在尝试将用户数据传递给 WorldPay，还是仅使用 WorldPay 作为您的支付引擎？切换域时，我不会开始通过 POST/GET 变量传递任何用户信息。
您的注册页面的答案是您需要强制使用 https（最好是从后面的代码），以便用户可以使用 SSL 加密输入他们的帐户信息并看到那个可靠的锁图标；）。
编辑：代码示例
if (HttpContext.Current.Request.Url.AbsoluteUri.ToLower().StartsWith("http://"))
{
Response.Redirect(HttpContext.Current.Request.Url.AbsoluteUri.Replace("http://", "https://"));
}
要获取您的证书：在您的 IIS 中，转到网站记录的属性，单击安全选项卡，然后单击服务器证书。完成分步过程，直到准备好将证书请求发送给证书签名机构（GeoTrust、Verisign 等）。从他们那里取回证书后，您的证书请求就可以完成并且您的 https 将正常工作。
此外，请检查您的 SSL 软件是否为最新版本。这应该涵盖要求。不过，我也会联系 WorldPay，以确保您遵守标准。
【讨论】：