敏感数据已被发送后关闭SSL是否安全？

Question

我想知道，一旦我们通过登录或注册页面，将连接更改回http是否安全。我正在考虑这个选项，因为一旦用户登录到他们的账户后来回发送的数据不是很敏感，只有用户凭据是敏感的。

我的理论是，答案最好不要，因为会话cookie将不安全地发送，并且第三方可以捕获它并在cookie未过期时使用它。

我是对的，还是我完全错了？我能得到一些见解吗？

Answer 1

你是对的。切换回http将发送任何未加密的cookie，使会话易受拦截。