安全的跨域表单提交答案

【问题标题】：Secure Cross Domain Form Submission安全的跨域表单提交
【发布时间】：2011-04-27 19:16:40
【问题描述】：

我有一位客户希望继续通过第三方供应商托管他们的表单，但要求我重新设计他们的网站。不幸的是，现在这些表单托管在第 3 方服务器上的 iframe 中，或者只是到第 3 方的直接链接。

这些表格很丑陋，制作也很糟糕，但它就是这样。我必须使用它们来处理数据。

但是，如果我能自己制作表单，让它们看起来像网站的其他部分，并且运行良好，我会很高兴的。

棘手的一点：表单信息必须是安全的。没有财务数据，但可以提交简历，并可能提交一些病史。

因此，如果我创建一个表单并将其托管在具有 SSL 证书的服务器上，然后将其发布到第 3 方的安全服务器 - 数据是否安全？

如果不是，我必须通过哪些选项（如果有）来实现我的目标，即创建一个美观的表单，将数据安全地发布到他们的服务器？第 3 方的表单没有自定义选项。

谢谢。

【问题讨论】：

So if I create a form and host it on a server with an SSL certificate, and post it to the 3rd party's secured server - is the data secure? 同一台服务器还是两台服务器？
独立服务器 Cos。谢谢！
许多安全审计人员不允许这样做。他们也不应该。我在你提到no financial data 的地方变得紧张。好像这有关系？这里没有灰色阴影。是的，这可能是一个安全的设置，但不，我不喜欢（a）你需要在这里询问它（b）它被询问的方式

标签： c# asp.net ssl webforms

【解决方案1】：

本质上并不安全。主机上的 SSL 不相关，第三方服务器上的 SSL 是相关的。但是，您必须将帖子设置为“https://...”而不仅仅是“http://”，作为“安全服务器”是不够的，您必须安全地调用它。您还需要在主机上使用 SSL（即使知道它是不相关的），因为您希望您的页面在其 url 中显示为“https://”，从而为信息较少的用户创造安全感。

【讨论】：

因为，两台服务器都将安装 SSL 证书，并且表单将仅在 https:// 页面上提供。 post 操作当然会指向 https:// 地址。我喜欢这样的声音。
我只是想为您区分一下“拥有” SSL 和 USING 一个 SSL 是不同的。服务器可能有 SSL 并且仍然在 HTTP:// 下提供页面（我知道 IIS、Apache 和 Tomcat 都能够从具有 SSL 的服务器提供非安全页面。
这很好。该站点实际上不允许不安全的连接 - 任何 HTTP 连接都被重定向到 HTTPS://

【解决方案2】：

因此，如果我创建一个表单并将其托管在具有 SSL 证书的服务器上，然后将其发布到第 3 方的安全服务器 - 数据是否安全？

是的，它是安全的。用户的表单将发布到https://thirdpartyserver.com，这将确保发布加密。

【讨论】：