我的Web应用程序上需要SSL吗？

Question

我有一个结构如下的应用程序：Web应用程序-WCF服务-数据库

与数据库之间的所有通信都通过WCF服务进行，Web应用程序无法直接与数据库通信。 我需要保护数据在传输过程中的安全，因此我在本地计算机上设置SSL以在IIS中测试和配置数据，因此现在必须使用HTTPS命中WCF服务。 但是，我没有将Web应用程序设置为使用HTTPS，可以吗？ 我以为，由于WCF服务正在执行所有数据传输，因此这是唯一需要HTTPS的服务。

谢谢。

Answer 1

如果您希望对数据进行加密，则需要确保已在应用程序的所有层上对数据进行加密传递。 从您的描述看来，从用户传递到WebApplication本身的数据是未加密的，因此以明文形式传递。 这意味着“侦听”用户与Web应用程序之间的流量的任何人都可以拦截数据。

我建议也在Web应用程序上添加SSL，以确保您的数据通过应用程序的所有3层进行加密。