Подобные вещи появляются во всей сети, особенно на сайтах, для которых регистрация необязательна. Тем не менее, это по своей сути небезопасно по весьма тонким причинам и дает пользователю ложное чувство безопасности. Я думаю, что недавно была статья об этом на codinghorror.com .
Опасность заключается в том, что, когда вы отправляете свою страницу с целью публикации "https://xxx",, страница, на которой находится эта ссылка, небезопасна, поэтому злоумышленник может изменить ее при передаче, чтобы она указывала на любой URL-адрес злоумышленник желает. Поэтому, если я захожу на ваш сайт, я должен просмотреть источник, чтобы убедиться, что мои учетные данные отправляются на защищенный адрес, и эта проверка имеет отношение только для этой конкретной отправки. Если я вернусь завтра, Я должен снова просмотреть источник, поскольку эта конкретная доставка страницы могла быть атакована, а цель публикации была сорвана - если я не проверяю каждый раз, к тому времени, когда я узнаю, что цель публикации была сорвана, уже слишком поздно - я ' Мы уже отправили мои учетные данные на URL злоумышленника.
Вы должны только предоставить ссылку на страницу входа; и страница входа в систему и все, что после этого должно быть HTTPS до тех пор, пока вы вошли в систему. И действительно, нет причин не делать этого; бремя SSL лежит на начальных переговорах; последующие соединения будут использовать кеширование сеанса SSL, а симметричная криптография, используемая для данных ссылки, на самом деле чрезвычайно низкая нагрузка.