Web applications 仅为外部应用程序而不是内部应用程序设置安全标志

在ASP.NET应用程序中，我可以这样设置安全标志：httpCookies requireSSL=“true”

---

现在假设我的应用程序面向外部，管理控制台面向组织内部。如果出于某种原因，我们不能或不想在内部使用SSL，有没有办法为外部应用程序设置“安全”标志，而不是为内部管理页面设置

httpCookies标记确实具有域属性

<httpCookies domain="String" 
         httpOnlyCookies="true|false" 
         requireSSL="true|false" />

因此，从理论上讲，您可以有两个具有两个不同域的应用程序，一个用于面向公众且仅具有外部页面的requireSSL=“true”，另一个用于管理页面，且requireSSL=“false”

---

但是，如果您已经要为外部用户获取SSL证书，那么您不能也为内部用户使用相同的证书吗？即使对于内部网络流量，使用SSL也是最佳做法，就像cookie是以明文形式发送的一样。

没错，最好的做法是将证书也用于内部管理页面。我完全同意。问题是外部应用SSL通信在负载平衡器上终止，但内部管理应用不通过负载平衡器。因此，我们实际上必须在IIS上安装证书。如果SSL通信在负载平衡器上终止，那么面向公众的SSL证书将需要安装在负载平衡器上，而不是IIS服务器上。然后，来自负载平衡器和内部用户的所有流量将未加密地到达IIS服务器。最好的解决方案是在IIS服务器上安装另一个SSL证书。这样，所有的流量都将被加密，而您不必将应用程序溢出。