敏感信息form提交时候的https问题

[zhangxiao]

第一种方案（已经否定）：
页面是http的，form在页面里，post到一个https的url，会有man in the middle的风险。

第二种方案
页面是http的，内嵌一个https的iframe显示form，form在iframe里提交。

第三种方案
整页https。

问题是第二种方案安全吗？man in the middle是不是可以篡改iframe的地址伪造表单？

[lhx2008]

第二种应该安全，post一般词不会查的，很特殊的词才会截post

[zhangxiao]

@lhx2008 呃...没太理解你的意思，或者你的想法主要是针对GFW的？

[msg7086]

内嵌https的时候难道不会被钓鱼替换？

[zhangxiao]

@msg7086 你说的被钓鱼替换，意思就是http的页面被劫持然后iframe的src被篡改，对吧？

[cctvsmg]

登陆那里单独搞个https就行吧，反正大家都这么做

如果考虑的太深
就算是像支付宝那样整站https
仍然会被中间人攻击

[zhangxiao]

@cctvsmg 比较头疼的是网站顶部有登录框，意味着整站都要https了...

[Mutoo]

支付宝还有一个方案是用安全控件

[lhx2008]

@zhangxiao 是，对不起，我理解错你的意思了，不过好像除了GFW很少截吧