对 https 端点的 AJAX 调用 = 安全吗？答案

【问题标题】：AJAX call to https endopint = secure?对 https 端点的 AJAX 调用 = 安全吗？
【发布时间】：2014-11-30 19:42:06
【问题描述】：

我正在计划一个 Cordova 移动应用程序（准确地说是 Meteor.js 应用程序），我需要从远程服务器安全地 POST/GET 一些敏感数据。

当请求指向https 端点时是否安全？我的猜测是它不会以这种方式工作。

只是说 - 我已经阅读了一些 SO 问题并搜索了谷歌，但其中大多数都提到了我没有遇到的 CORS 问题。

感谢您的帮助。

【问题讨论】：

【解决方案1】：

是与否

向 https 服务器发送数据是否安全？是的，如果您确定要将数据发送到您的服务器

但是，您可能已连接到公共 wifi，并且可能有人在进行中间人攻击，因此您认为您正在将数据发送到您的服务器，但黑客正在获取数据。

为避免这种情况，您可以进行服务器证书固定，有一些插件可用，因此您可以确保发送数据的服务器确实是您的（比较证书指纹或检查某些值）

【讨论】：

【解决方案2】：

这取决于你需要什么。 Https (TLS) 将使您的移动用户确信他们正在与证书标识的服务器进行通信。它还将加密服务器和移动应用程序之间的通信，因此没有人可以监听。

它不会对您的用户进行身份验证，并且只允许您将某些数据提供给特定用户。为此，您需要某种身份验证方案。

它也不会保护您免受XSS、CSRF、SQL injection 或其他攻击。所以这在很大程度上取决于您的要求，但是 https 本身不足以保护网站。

【讨论】：

我确实了解您所描述的大部分问题。由于它是一个移动应用程序，因此视图托管在客户端设备（cordova）上，因此我正在对 https 服务器端点进行 ajax 调用。我的问题是客户端和服务器之间的通信是否通过服务器从一开始就拥有的 ssl 证书进行加密。
不确定问题到底是什么。如果这种通信是安全的？是的，使用 http 将确保通信安全。这对于您的应用程序是否足够取决于我在回答中提到的其他要求。