Cookies 在发送敏感数据后关闭SSL安全吗？

我想知道，一旦我们通过登录或注册页面，将连接更改回http是否安全。我正在考虑这个选项，因为用户登录到他们的帐户后来回发送的数据并不是真正敏感的，只有用户凭据是敏感的。

我的理论是，最好不要这样做，因为会话cookie将被不安全地发送，第三方可以在cookie未过期时捕获并使用它。

---

我是对的，还是完全错了？我能了解一些情况吗？

你说得对。切换回http将发送任何未加密的cookie，使会话容易被拦截。

您还应提供登录表单以及通过HTTPS连接到登录表单的链接。如果你通过HTTP为他们服务，中间中间的中间人就很容易替换URL并将用户带到假表格（注意，成功的登录是可能的，因为假表格将在引擎盖下的真实站点上验证用户）。