IIS:HTTPS绑定的RequireSSL false

在仅使用https绑定的IIS网站中，我转到SSL设置：

将RequireSSL设置为true或false有什么区别？

从这里开始（）：

• IIS 7.0管理工具有一个“SSL设置”节点，您可以为每个站点、目录或文件选择该节点，该节点允许您控制特定资源（以及默认情况下其子资源）是否需要SSL请求才能执行。这对于类似login.aspx页面的页面非常有用，在该页面中，您希望确保用户只能在通过加密通道发布时输入其凭据。如果您将login.aspx页面配置为需要SSL，则IIS 7.0将阻止浏览器访问该页面，除非他们通过SSL进行访问
• 在ASP.NET页面或处理程序中，您可以通过检查request.IsSecure属性（如果传入的浏览器请求通过SSL，则返回“true”）以编程方式检查当前请求是否使用SSL
• 您可以在web.config文件的配置部分设置“requireSSL”属性，使ASP.NET的表单身份验证系统确保表单身份验证cookie仅在启用SSL的页面和URL上设置和使用。这避免了黑客试图拦截非SSL安全页面上的身份验证cookie，然后试图使用来自不同机器的“重播攻击”来模拟用户的风险

因此，似乎只有当网站具有http和https绑定以区分哪个特定资源需要https或根本不需要https时，此设置才有意义。

从这里开始（）：

• IIS 7.0管理工具有一个“SSL设置”节点，您可以为每个站点、目录或文件选择该节点，该节点允许您控制特定资源（以及默认情况下其子资源）是否需要SSL请求才能执行。这对于类似login.aspx页面的页面非常有用，在该页面中，您希望确保用户只能在通过加密通道发布时输入其凭据。如果您将login.aspx页面配置为需要SSL，则IIS 7.0将阻止浏览器访问该页面，除非他们通过SSL进行访问
• 在ASP.NET页面或处理程序中，您可以通过检查request.IsSecure属性（如果传入的浏览器请求通过SSL，则返回“true”）以编程方式检查当前请求是否使用SSL
• 您可以在web.config文件的配置部分设置“requireSSL”属性，使ASP.NET的表单身份验证系统确保表单身份验证cookie仅在启用SSL的页面和URL上设置和使用。这避免了黑客试图拦截非SSL安全页面上的身份验证cookie，然后试图使用来自不同机器的“重播攻击”来模拟用户的风险

因此，似乎只有当网站具有http和https绑定以区分哪个特定资源需要https或根本不需要https时，此设置才有意义