我在网站上有一个页面,其中包含iframe中的安全表单.虽然提交的表单数据是安全的,但页面看起来并不安全,因为浏览器中的URL只是HTTP.我可以做些什么来向用户表明表单是否安全?
虽然提交的表单数据是安全的
它可能加密也可能不加密.但它并不安全,浏览器是绝对正确的拒绝你的挂锁图标.
如果父页面是http
,则该页面很容易被中间人攻击改变,以将通常安全的服务指向完全不同的服务器到预期的服务器.或者,父页面可能已经注入了JavaScript,以记录您在表单中创建的任何按键并将它们发送到攻击者的服务器.
用户无法检查是否发生了这种情况,无法查看页面源并阅读和理解其中的每一行标记和脚本.这绝对是不现实的.
如果您不在所有内容都受到保护的https
页面上,则无论表单action
指向何处,该页面的任何提交都是不安全的.
在新窗口中打开表单或在安全服务器上托管容器页面.用户有权对托管所谓安全页面的不安全页面持怀疑态度 - 它实际上是在乞求XSS攻击.