HTTPS，URL路径，查询字符串

Question

这是我previous question about BASIC auth over HTTPS

跟进后是路径安全地传递到服务器，如果我使用HTTPS资源和查询字符串？

即
URI：http://server/path/to/a/resource?with=a&query=string
服务器：服务器
路径： /路径/到/ A /资源
查询字符串：与=一&查询=字符串

Answer 1

这是一个非常好的解释：http://answers.google.com/answers/threadview/id/758002.html#answer

摘要：只有主机和端口可以不加密。

总之，是的。但是您不应该在URL中存储敏感数据，因为它可能在浏览器历史记录和服务器日志文件中可见。任何看着你肩膀的人都会看到它。

Answer 2

HTTPS只是通过SSL连接的HTTP隧道。这意味着请求，响应，标题和内容都在SSL隧道内，因此应该加密。

Answer 3

是的，它是 - 整个会话是安全的，并加密，所以你发送的任何东西，包括查询字符串是不可读的。

如果您愿意，可以通过使用类似Fiddler的内容来查看您在访问安全网址时生成的http/https流量，从而证明这一点。任何你寄过来HTTPS将不会显示在查询字符串，如下所示：

我访问实际的URL是这样的：

https://www.halifax-online.co.uk/_mem_bin/formslogin.asp?source=halifaxcouk&simigvis=

按照其他答案，你不应该在查询字符串中传递任何敏感信息，因为这可能存储在你的web服务器日志文件中，所以如果你传递了一个用户名/密码组合，访问您的日志将能够捕获该信息。这可能允许某人登录到您的站点/应用程序，就好像他们是其他人一样，即使您正在努力将密码存储为数据库中的哈希值而不是明文。