https 在第三方非 https 网站上

Question

假设有一个不受 https 保护的第三方网站。

第三方网站集成了一个 javascript 调用，该调用基本上从我的网站获取付款表格并将付款表格添加到第三方网站。

此人填写付款表单，其中包含“https://example.com/...”表单操作，其中 example.com 是我的网站。

即使他们在不受 https 保护但表单操作受 https 保护的网站上填写付款表格，他们的信息也会被加密。

基本上就是这样：

显示付款表单的网站名为http://thirdparty.com/welcome

付款表格有以下表格代码：

<form name = "payment" action = "https://example.com/process">

此表单显示在非 https 加密网站上：http://thirdparty.com/welcome 并被发送到https://example.com/process

以这种形式提供的信息会被加密吗？

Answer 1

他们提交的信息在通过 HTTP 发送时会被加密……

...但是包含表单的页面是不安全的，可以在到达客户端的途中被拦截，并且可以添加额外的 JavaScript。此类 JavaScript 可能会将他们输入的支付信息复制到攻击者的服务器（在加密之前）。

因此，总体而言，该方法不安全。

应将用户定向到您网站页面中由您网站托管的表单，而不是嵌入在第三方网站中。