IIS：HTTPS 绑定的 RequireSSL false答案

【问题标题】：IIS: RequireSSL false for an HTTPS bindingIIS：HTTPS 绑定的 RequireSSL false
【发布时间】：2016-10-18 22:15:33
【问题描述】：

在仅使用 https 绑定的 IIS 网站中，我转到 SSL 设置：

RequireSSL 设置真或假有什么区别？

【问题讨论】：

标签： ssl iis https

【解决方案1】：

从这里（http://weblogs.asp.net/scottgu/tip-trick-enabling-ssl-on-iis7-using-self-signed-certificates）：

IIS 7.0 管理工具有一个“SSL 设置”节点，您可以为每个站点、目录或文件选择该节点，以便您控制该特定资源（以及默认情况下其子资源）是否需要 SSL 请求才能执行.这对于像 login.aspx 页面这样的页面很有用，您希望在这些页面中保证用户只能在通过加密通道发布时输入他们的凭据。如果您将 login.aspx 页面配置为需要 SSL，IIS 7.0 将阻止浏览器访问它，除非它们通过 SSL 进行访问。

在 ASP.NET 页面或处理程序中，您可以通过检查 Request.IsSecure 属性以编程方式检查当前请求是否使用 SSL（如果传入的浏览器请求通过 SSL，它将返回“true”）。

您可以在 web.config 文件的配置部分设置“requireSSL”属性，以使 ASP.NET 的表单身份验证系统确保表单身份验证 cookie 仅在启用 SSL 的页面和 URL 上设置和使用。这避免了黑客试图拦截非 SSL 安全页面上的身份验证 cookie，然后尝试使用来自不同机器的“重放攻击”来冒充用户的风险。

因此，似乎只有当网站具有 http 和 https 绑定来区分哪些特定资源需要 https 或根本不需要时，此设置才有意义。

【讨论】：