设计和测试没有SSL的安全Web应用程序可以吗？

Question

我需要构建一个最终需要通过SSL启动的小型Web应用程序。

我的问题是，我可以设计和测试它，就好像它是一个普通的应用程序，只是后来添加任何必要的东西来使其安全？或者我必须从一开始就通过SSL对其进行测试。

Answer 1

当你开发你的应用程序时，你会很好地等待SSL。注意不要对任何http://网址进行硬编码，我认为您的大部分开发都不会遇到任何问题。在上线前切换到SSL之后，确保你做了大量的测试。

Answer 2

除了HTTP URL的手表出来的端口号的HTTPS流量不会对端口80

Answer 3

你可以用非SSL测试，但也有几件事情需要注意。如果您正在加载第三方网站上的图片或组件（例如CAPTCHA），则需要确保可以通过SSL调用它们。有时，网络分析软件的跟踪像素也会造成痛苦。

Answer 4

如果您使用的是ajax调用，则通过您的域上的非https资源代理所有请求。我遇到了一个问题（使从非SSL页面到SSL URL的AJAX调用）返回。

Answer 5

我的问题是，我可以设计和测试它，就好像它是一个普通的应用程序，只是后来添加任何必要的东西才能使其安全？或者我必须从一开始就通过SSL对其进行测试。

如果通过whatever is necessary to make it secure您的意思是enable ssl那么肯定，去吧。但是，如果要使其安全性需要其他方面的内容，如认证，授权，基于角色的访问以及什么不是，那么不需要。传统的看法是在开发的所有阶段都包含安全性，因为最终你不能只是“开启”它。在实施具有丰富访问控制的安全系统时，大多数问题不会发生在您身上，除非您实际上正在测试核心功能，同时受到这些控制的限制，并且有机会测试“开心路径”和通过代码“不愉快的路径”。