我读过很多文章说在 WCF 中有两种类型的安全性，一种是传输级别，另一种是消息级别。当您有 Intranet 连接时，必须使用传输级安全性，因为它提供点对点安全性，并且底层协议应该是 SSL....
但是如果我搜索如何保护公共网站，他们都说再次使用 HTTPS(SSL) SSL。
这两种说法是矛盾的。
问题：
【问题讨论】：
标签： wcf security ssl asp.net-web-api https
HTTPS 对数据进行点对点加密，一旦数据到达其中一个点并被解密，从该点开始就不再提供安全保证。但是，中间节点无法读取信息。
另一方面，消息安全性可以加密只有特定接收者才能解密的数据，该接收者可以是与接收端分开的实体。接收端可能最终会将加密的消息转发给能够解密消息的预期接收者。
电子邮件就是一个类比。如果您使用传输安全（例如 HTTPS）与您的邮件服务器建立连接，则可以保证从您的机器到邮件服务器的任何信息都是安全的。但是，任何有权访问邮件服务器的人（例如服务器管理员）都可以阅读电子邮件的内容。
另一方面，如果您使用邮件安全来加密邮件以便只有指定的收件人可以解密，则实际的电子邮件会被加密（而不仅仅是您与服务器之间的通信），因此即使消息被服务器接收，它仍然是加密的。只有当电子邮件服务器将您的邮件转发给您的预期收件人时，收件人才能使用自己的私钥解密邮件，从而在整个传递路径中保持电子邮件的私密性，同时不需要发件人和收件人直接通信，因为传输级安全要求。
当然，邮件的某些部分必须对电子邮件服务器保持可见，例如收件人地址，因此您可能希望使用两种安全级别：邮件安全将确保邮件服务器（或除收件人）无法阅读您的电子邮件内容，并且传输安全性将另外确保第三方监听您和您的邮件服务器之间的通信无法找到您正在向谁发送电子邮件（除非邮件服务器将该信息泄露给该第三方
取自WCF Transport security weakness
在此处阅读更多信息https://msdn.microsoft.com/en-us/library/hh273109(v=vs.100).aspx
回答问题 2：
因为一旦它到达由公司本身/或在数据中心托管的 IIS 服务器，该服务器具有所有防火墙和其他难以绕过的安全措施，这意味着除非可以，否则没有人可以从该服务器读取您的消息到处破解它可以节省 tcp 安全性。
【讨论】：