Comment puis-je effectuer le service Web/application uniquement sur https dans node.js

Question

J'ai une question triviale à propos de l'architecture Web. Quand je construis un service web/une application, je veux que cela fonctionne uniquement sur le protocole https.

J'ai d'abord analysé la méthodologie google par session réseau d'outils de développement chromés. Là, je l'ai trouvé, lorsqu'une requête http a été envoyée au google, que la requête redirigée vers https de même origine.

Je pensais que c'était un moyen respectable. Mais je trouve qu'il y a un risque potentiel. Lorsqu'un utilisateur autorisé utilise le google, il a une session. Et après, il veut approfondir un autre site (par exemple Yahoo). Et il reviendra au google en insérant l'adresse 'google.com' directement dans la boîte d'adresse du navigateur. Dans ce cas, si l'utilisateur n'a pas fermé la session google, dans le processus de redirection, le jeton de session non crypté sera envoyé à google parce que le processus de redirection sera effectué sur le protocole http. Donc, cet utilisateur sera exposé attaque MITM (homme au milieu). Donc, j'hésite à utiliser la méthodologie Google. Quelqu'un a une idée?

Answer 1

Définissez l'indicateur secure sur le cookie de session. Ensuite, il ne sera jamais envoyé via HTTP.