同じドメインで同一生成元ポリシーに、しかし、HTTPS

テストを設定する手間がなくても、誰かがこれが同じ起源とみなされるかどうかを確認できますか？同じドメインで同一生成元ポリシーに、しかし、HTTPS

私の前提は、この状況でクッキーが正常に共有されているので、これがうまくいくということです。

出典

2011-11-11 ScottE

いいえ、それは文句を言わないURLを作業は、同じドメインと同じプロトコルがありません、それは同じ起源ではありませんhttp://en.wikipedia.org/wiki/Same_origin_policy

出典

2011-11-11 11:01:36

を参照してください必要があります。

おそらく、httpまたはhttpsのいずれかの通話を受け入れるようにサーバーを設定できますか？この場合、プロトコルの相対URLを使用して、すでに使用しているプロトコルを使用してリクエストを行うことができます。ところで

reqUrl = "//www.somedomain.com"

、httpページからhttrps呼び出しを行うために、通常は正しくありません。最初のhttpページでは、ページを認証する方法が正しく提供されておらず、悪意のあるスクリプトではなく意図されたスクリプトが実行されているため、httpsが与えるすべての秘密を失います。

出典

2011-11-11 11:02:00 hugomg

回答の2番目の部分については、どこで情報を入手しましたか？ http://stackoverflow.com/questions/3978354/is-a-post-from-http-to-https-secure – ScottE

問題は、元のページがHTTPの場合、ユーザーは正しいページを使用しているという保証がないことです第三者が送った邪悪なページの代わりに彼を送った。 – hugomg

既に安全でないページにアクセスしていて、そのページから安全なページにアクセスしている場合は、実際にはそれがどのように悪化しているかわかりません。それより悪いことに、あなたのソリューション（完全に良いもの）は、セキュリティを完全に放棄します。確かにそれは良くありません。同じ起源の方針はほとんどの場合意味をなさないかもしれませんが、これはその1つではありません。 –

同じドメインで同一生成元ポリシーに、しかし、HTTPS

答えて

関連する問題