HTTP и HTTPS iframe

Question

Я создаю небольшой виджет и хочу, чтобы другие могли его использовать. iframe загружается через HTTP - но я хочу, чтобы пользователи могли войти через HTTPS. Т.е. отправить запрос на вход по SSL.

Разрешено ли это в рамках политики того же происхождения? Т.е. сценарий состоит в том, что пользователь может интегрировать мой JavaScript на свой веб-сайт, открывается виджет, и я хочу разрешить ему входить в систему через HTTPS?

Answer 1

Обычно плохой практикой является встраивание iframe с контентом, обслуживаемым по HTTPS, на страницу, обслуживаемую по обычному HTTP (или смешанному контенту).Причина этого заключается в том, что у пользователя нет хорошего способа проверить, что он использует HTTPS-сайт, который он намеревается (если только пользователь действительно не хочет проверить источник страницы).

Злоумышленник вполне можетзамените контент, который вы обслуживаете, следующим образом:

<iframe src="https://your.legitimate.example/loginframe" />

на:

<iframe src="https://rogue.site.example/badloginframe" />

или даже:

<iframe src="http://rogue.site.example/badloginframe" />

Это очень трудно обнаружить пользователю,и побеждает меру безопасности, которую вы пытаетесь применить, включив вход по HTTPS.

Answer 2

@ Бруно - я согласен, но я хотел бы отметить, что даже проверки источника - как бы требовательного он ни был - страницы может быть недостаточно для обеспечения безопасности или надлежащего / предполагаемого места назначения, поскольку это часто первоначально обслуживаемый исходный текст. Если я серьезно не ошибаюсь, это можно легко изменить с помощью встроенного или даже внестраничного кода JavaScript (который сам может быть запутан, если кто-то действительно хочет сделать его почти невозможным для поиска). Тем не менее, ЕСЛИ пользователь имеет соответствующий браузер, Я думаю , что они могут быть в состоянии - , если они подозрительны, начиная с - проверить источник iframe, чтобы определить источник этого кода, а затем определить, доверяют ли они источнику ... не совсем разумное ожидание.

Хотя все это можно было бы определить с помощью соответствующих отладчиков и / или программных / DOM-инспекторов и хорошей помощи цифровой смазки для локтей, OP не может разумно ожидать, что все это сделают (если кто-нибудь вообще)

Answer 3

Я сделал несколько тестов. Если вы ссылаетесь со страницы https на другой домен с помощью https, им нужен действительный сертификат SSL.