Hallo Frederic (oder auch Oli),
Jetzt möchte ich aber nur noch die Login-Daten und ggf. die Registrierung verschlüsselt übertragen und alle anderen Seiten können unverschlüsselt bleiben. Wie mache ich das am besten?
da die Session nicht zwischen der per HTTP und der per HTTPS aufgerufenen Anwendung geshart werden kann, wäre das bspw. in etwa so:
- Senden der Logindaten an einen Handler https://server/LoginHandler.ashx
- Der Handler prüft die Daten, setzt ein Token, speichert dieses bspw. beim Datensatz des Users in einer Datenbank und leitet bei Erfolg auf http://server/LoginHandler.ashx um
- Hier wird nur noch das Token genommen und mit dem in einer Datenbank hinterlegten Wert verglichen und dann die entsprechende Sessionvariable gesetzt
Das kann per normalen GET/POST Request passieren aber auch per Ajax/jQuery.
Wie man das letztendlich löst (Handler, Ajax, IFrame, ...), bleibt einem selbst überlassen. Wichtig ist nur, dass man nach dem Login auf https dann auch der "normalen", per http Aufruf erzeugten Session, mitteilt, dass der User nun angemeldet
wurde.
Aber wirklich sicherer wird deine Anwendung damit auch nicht.
Gruß, Stefan
Microsoft MVP - Visual Developer ASP/ASP.NET
http://www.asp-solutions.de/ - Consulting, Development
http://www.aspnetzone.de/ - ASP.NET Zone, die ASP.NET Community
