ユーザーがhttpsにリダイレクトせずにhttpページにログインできるようにしたい。これは、ユーザーが表示しているページの状態を失わないようにするためです。
ユーザーがログインが必要なものをクリックすると、モーダルログインフォームがページ上に表示され、詳細を尋ねられます。その後、ajaxを使用してログインでき、モーダルフォームは状態が失われることなく消えます。ただし、これは安全ではありません。パスワードはプレーンテキストで送信されています。
postMessageを使用して、httpsを使用してロードされた場所を持つ非表示のiframeにユーザー名/パスワードを送信できます。これにより、ログインリクエストが安全に送信され、成功/エラーがメインページに返されます。
このシナリオで私が見逃しているセキュリティ上の考慮事項はありますか？
特に、中間者。http javascriptは、中間者を使用して置き換えることができ、これを使用してパスワードをキャプチャし、https iframeに到達する前に他の場所に送信できると考えているのは正しいですか？