HTTP 与 HTTPS 有什么区别，SSL 到底发生了什么？

Question

不久前我问了一个关于What is the difference between requiring an SSL cert and accepting an SSL cert?的问题

在很大程度上消除了两者之间的差异，但是我对这个话题仍然有点不清楚。

我对这张图片有几个问题：

• 需要 SSL - 从客户的角度来看，这究竟意味着什么？这是否意味着为了让网页出现，服务器需要有 SSL 证书？这种加密是如何工作的？
• 客户端证书 - 我知道这一切都来自客户端，但我作为网络服务器会发布吗？您需要客户证书的特殊情况是什么？

也在阅读这篇文章：Why SSL? The Purpose of using SSL Certificates 虽然我确实在特定页面上设置了需要 SSL 和忽略客户端证书，但我没有看到地址栏的以下更改：

• 为什么我看不到这一点？我需要什么才能使其正常工作，因为这让我相信使用 HTTPS 确实比使用 HTTP 更安全

我对此提出质疑的原因是因为最近，当我尝试将 HTML 动态加载到我的网站时，我正在使用 Javascript 和 HTTPS 对 url 进行加载，但是我收到域错误，说它不是来自同源...

即http://www.example.com & https://www.example.com - 我不明白为什么我会收到一个错误提示来源不同？更不用说我还在使用带有 HTTPS 的页面（这就是地址栏）。同时，将链接更改为 HTTP 似乎可以解决该错误。

Answer 1

需要 SSL - 从客户端的角度来看，这究竟意味着什么？

documentation 有点不清楚。它要么意味着：

• 当向服务器发出纯 HTTP 请求时，它会响应“您想要的资源位于此 HTTPS URL，去那里获取它”或
• 它完全关闭纯 HTTP 支持

如果您有支持 SSL 的 IIS 服务器（我不支持），这很容易测试，我认为这是第一个选项。

---

客户端证书 - 我知道这一切都来自客户端，但它是我作为网络服务器会发布的吗？什么情况下需要客户证书？

通常，您会以“运行网络服务器的人，但也可能是需要客户端证书的其他系统”的身份颁发它们。

您使用这些代替用户名/密码。

---

虽然我确实在特定页面上设置了需要 SSL 和忽略客户端证书，但我没有看到地址栏的以下更改

如果您不向我们展示您在自己网站上看到的内容，就很难说出问题所在。

---

即http://www.example.com & https://www.example.com - 我不明白为什么我会收到错误消息说不是同一个来源？

来源地规则相当严格。

• 主机名必须相同（是）
• 端口必须相同（不是，您有 80 和 443，这是 HTTP 和 HTTPS 的默认值）
• 方案必须相同（HTTP和HTTPS不一样）

您应该通过在任何地方使用 SSL 来缓解这种情况。不要对某些事情使用纯 HTTP，而对其他事情使用 HTTPS。

浏览器没有通知连接是安全的（如上一节所述）可能是由于您通过 HTTP 将其他资源加载到页面中，但如果没有测试用例，则很难判断。