如何在 ASP.NET Core 1.1 中排除重定向到 https 的控制器

Question

在这篇精彩的文章https://long2know.com/2016/07/asp-net-core-enforcing-https/ 之后，我尝试强制执行 HTTPS，但一个 web-api 控制器除外，它必须响应不支持 SSL 的嵌入式系统。问题存在于 startup.cs 的以下配置部分。

        var options = new RewriteOptions()
           .AddRewrite("^api/&", "/api/", skipRemainingRules: true) 
           .AddRedirectToHttps(302, sslPort);

        app.UseRewriter(options);

使用 AddRewrite 行（不替换任何内容）我尝试触发 skipRemainingRules 以避免重定向。这适用于 IIS express（通过 localhost）的开发，但不适用于 IIS 背后的生产环境。显然 SkipRemainingRules 并不会阻止 AddRedirectToHttps 生效。

非常感谢您提供任何可以解决此问题的线索。

Answer 1

我知道我的回复很晚，但也许它会对某人有所帮助。

var options = new RewriteOptions()
            .AddRewrite(@"^api/(.*)", "api/$1", true)
            .AddRedirectToHttps(302, sslPort);
app.UseRewriter(options);

使用此解决方案，您可以在 http 上调用 /api/...，其他所有请求都将被重定向到 https。

我已经用 .Net Core 2.1 测试了这个解决方案。

Answer 2

我最终通过自定义重定向修复它：

public class CustomRedirect : Microsoft.AspNetCore.Rewrite.IRule
{
     public void ApplyRule(RewriteContext context)
    {
        var request = context.HttpContext.Request;
        var host = request.Host;

        // Exclude localhost
        if ( string.Equals(host.Host, "localhost", StringComparison.OrdinalIgnoreCase))
        {
            context.Result = RuleResult.ContinueRules;
            return;
        }

        // Exclude api
        if (request.Path.Value.Contains("/api/"))
        {
            context.Result = RuleResult.ContinueRules;
            return;
        }

        // force other traffic to https
        if (string.Equals(request.Scheme, "http", StringComparison.OrdinalIgnoreCase))
        {
            string path = "https://" + host.Value + request.PathBase + request.Path + request.QueryString;
            context.HttpContext.Response.Redirect(path,true);
            context.Result = RuleResult.EndResponse;
        }     
    }
}

并在 startup.cs 的 Configure 部分注册：

app.UseRewriter(new RewriteOptions().Add(new CustomRedirect()));

Answer 3

我认为有一个 issue 与 IIS 一起工作，即使在 Azure Web 应用程序中关于 http/https 重定向。

因此，实现这一目标的一种方法是通过web.config 执行它，如下所示：

<system.webServer>
    <rewrite>
      <rules>
        <rule name="HTTP/S to HTTPS Redirect" enabled="true" stopProcessing="true">
            <match url="^((?!api).)*$" />
            <conditions logicalGrouping="MatchAny">
              <add input="{SERVER_PORT_SECURE}" pattern="^0$" />
            </conditions>
            <action type="Redirect" url="https://{HTTP_HOST}/{R:0}" redirectType="Permanent" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>

按照这个约定，您对每个 url 强制执行 https，除了那些内部带有 api 关键字的那些。