java何时不使用双向SSL认证验证

Question

我有一个基于Java的后端应用程序，它只执行读取操作。后端的工作方式是用户放置一个客户唯一标识符，然后从该ID返回客户信息。此后端应用程序仅由公司内部团队调用。这让我问什么时候不使用SSL认证验证？此应用程序只由公司内部团队调用，是否需要双向SSL认证

Answer 1

这与Java无关。这在很大程度上取决于贵公司的安全政策

如果客户信息在公司内部公开，则根本不需要身份验证。如果它不是公共的，则需要身份验证。（这样，您的后端可以检查用户是否有权查看该信息）

通常，您的公司会根据信息的保密等级规定访问信息所需的安全级别

更新我想到的几个原因（使用或不使用SSL）

不使用SSL（比如“极力避免使用SSL”）的唯一原因是

• 如果您有一个高度依赖速度的（实时）通信，并且希望不惜一切代价避免这种开销

使用它的理由（现在你应该至少使用HTTPS）

• 这样，浏览器就知道它在跟谁说话（避开中间的人）
• 这样传输就被加密了（可能有人在线路上安装了侦听器）

使用身份验证和检查用户是否被授权的原因：

• 未来，数据分类可能会发生变化（例如，并非所有员工都能看到该数据）=>；不需要更改应用程序，只需要更改权限分配

补充：补充一件事：

• 身份验证方法（基本证书与客户端证书与其他方法）仍将取决于用例和机密性分类