asp.net c#从http重定向到https

Question

所以在我的代码中，我想检测我的登录页面是否被称为 http，并将其重定向到 https。

我知道有非代码方法可以给这只猫剥皮，但出于令人沮丧的技术原因，我支持在代码中这样做。

            if (!Request.IsSecureConnection)
            {
                string redirectUrl = Request.Url.ToString().Replace("http:", "https:");
                Response.Redirect(redirectUrl);
            }

所以我把它放在我的Page_Load(...) 中，确保我的调试器使用真正的 IIS，而不是 VS2008s IIS，然后点击调试。

在调试器中，跳华尔兹，点击 Response.Redirect("https://localhost/StudentPortal3G/AccessControl/AdLogin.aspx"), 按 f5。

得到“Internet Explorer 无法显示网页，url 是 HTTP，不是 HTTPS。 没有得到信息性错误...同样的事情没有在调试器中运行。

那么我错过了什么？它似乎不是火箭科学，我在很多博客上都看到过类似的代码......

我做错了什么？我认为这一定是一个非常明显的 Rookie 错误，但我没有看到。

Answer 1

我也会发送!Request.IsLocal 以确保我没有在调试，但如果您使用的是真实的 IIS 实例，并且在调试时应用了证书，这应该不是问题。

if (!Request.IsLocal && !Request.IsSecureConnection)
{
    string redirectUrl = Request.Url.ToString().Replace("http:", "https:");
    Response.Redirect(redirectUrl, false);
    HttpContext.ApplicationInstance.CompleteRequest();
}

注意：此答案假定 Controller 中有一个 MVC 上下文，其中 HttpContext 是保存当前上下文的属性。如果您很不幸仍然在使用 WebForms 或以退化的方式引用上下文，您将需要使用 HttpContext.Current.ApplicationInstance.CompleteRequest()。

注意：我已将其更新为与推荐的模式一致，以根据 framework documentation 终止请求。

当您在页面处理程序中使用此方法来终止对 一个页面并开始对另一个页面的新请求，将 endResponse 设置为 false 然后调用 CompleteRequest 方法。如果您指定 true 对于 endResponse 参数，此方法调用 End 方法 引发 ThreadAbortException 异常的原始请求 当它完成时。此异常对 Web 有不利影响 应用程序性能，这就是为什么为 推荐使用 endResponse 参数。有关详细信息，请参阅 结束方法。

Answer 2

我通常从我所有页面继承的基类中的 OnPreInit 调用以下内容。当然，您可以在每个页面中都这样做……但您现在不想这样做吧？

请注意，我为每个页面设置了两个属性，因此我可以为每个页面指定 SSL 要求 (RequiresSSL)，同时我还可以根据需要覆盖和重定向检查（使用 IgnoreRequiresSSL，这对于错误之类的页面很有帮助您重写的页面并且不知道它们是否会被加密），但当然，您可以删除这些以进行简单的设置。

    protected override void OnPreInit(EventArgs e)
    {
        base.OnPreInit(e);

        if (!IsPostBack)
            RedirectAccordingToRequiresSSL();

        ...
    }

    /// <summary>
    /// Redirect if necessary to ssl or non-ssl enabled URL dependant on RequiresSSL property setting.
    /// </summary>
    private void RedirectAccordingToRequiresSSL()
    {
        if (IgnoreRequiresSSL) return;

        if (RequiresSSL)
        {
            if (!Request.IsSecureConnection) // Need to redirect to https
                RedirectAccordingToRequiresSSL(Uri.UriSchemeHttps);
        }
        else if (Request.IsSecureConnection)
        {
            RedirectAccordingToRequiresSSL(Uri.UriSchemeHttp);
        }

        // Otherwise don't need to do any redirecting as already using the correct scheme
    }

    /// <summary>
    /// Redirect as requested to specified scheme
    /// </summary>
    /// <param name="scheme"></param>
    private void RedirectAccordingToRequiresSSL(string scheme)
    {
        var url = scheme + Uri.SchemeDelimiter + Request.Url.Authority + Request.Url.PathAndQuery;
        Response.Redirect(url, false);
    }

Answer 3

免责声明 - 我参与了这个项目的开发

我建议使用http://nuget.org/packages/SecurePages/ 它使您能够保护特定页面或使用正则表达式来定义匹配项。它还将强制所有不匹配正则表达式或直接指定的页面返回 HTTP。

你可以通过 NuGet 安装它：Install-Package SecurePages

文档在这里：https://github.com/webadvanced/Secure-Page-manager-for-asp.net#secure-pages

简单用法：

SecurePagesConfiguration.Urls.AddUrl("/cart");

或

SecurePagesConfiguration.Urls.AddRegex(@"(.*)account", RegexOptions.IgnoreCase | RegexOptions.Compiled | RegexOptions.Singleline);

Answer 4

这是我的解决方案：

// Force HTTPS connection
if (!Request.IsSecureConnection)
{
    var uri = new Uri(Request.Url.ToString());
    var redirectUrl = Settings.CanonicalDomain + uri.PathAndQuery;
    Response.Status = "301 Moved Permanently";
    Response.AddHeader("Location", redirectUrl);
    Response.End();
}

Settings.CanonicalDomain 是您的 HTTPS 主机名。 It 301 重定向在某些情况下可能是正确的响应。

Answer 5

在我的开发环境中，我喜欢有一个单独的发布目录，其中安装了带有自签名证书的 IIS，这与我没有直接在 Visual Studio 中调试的证书的代码目录不同。在这种情况下，!Request.IsLocal 并不理想，因为它在您的开发环境中的任何地方都不起作用，即使在带有证书的 IIS 目录中也是如此。我更喜欢这个：

if (!IsPostBack && !HttpContext.Current.IsDebuggingEnabled) 
{
    // do http->https and https->http redirection here
}

HttpContext.Current.IsDebuggingEnabled 基于 web.config 中编译 debug="true/false" 的值。当我需要在本地测试 http 和 https 重定向时，我在代码目录中将其设置为 true，在发布目录中设置为 false。

我添加了IsPostBack 只是为了通过在不需要时跳过额外的 ssl 检查来（稍微）提高效率。

Answer 6

我也会建议 tvalfonsso 的解决方案，但要进行一些小修改，以防你有一些 url 重写（RawUrl 与 Url 不同）

    if (SPPage == SPPages.StartAutotrading && !Request.IsLocal && !Request.IsSecureConnection)
        {
            string redirectUrl = (Request.Url.ToString().Replace(Request.Url.PathAndQuery.ToString(), "") + Request.RawUrl).Replace("http:", "https:");
            Response.Redirect(redirectUrl);
        }

Answer 7

您也可以使用新的 UriBuilder：

Dim context As HttpContext = HttpContext.Current
If Not context.Request.IsSecureConnection Then
    Dim secureUrl As New UriBuilder(context.Request.Url)
    secureUrl.Scheme = "https"
    secureUrl.Port = 443
    context.Response.Redirect(secureUrl.ToString, False)
    Return
End If

C#

HttpContext context = HttpContext.Current;
if (!context.Request.IsSecureConnection)
{
    UriBuilder secureUrl = new UriBuilder(context.Request.Url);
    secureUrl.Scheme = "https";
    secureUrl.Port = 443;
    context.Response.Redirect(secureUrl.ToString(), false);
}

Answer 8

我能够强制执行 https 重定向的方法之一是：

在应用程序池中，我的应用程序仅在端口 443 上运行，因此不可能发生未加密的会话（除非加密方案被漏洞破坏......）。我在端口 80 上创建了另一个具有相同 IP 地址的应用程序，其中仅包含一个 web.config 文件，其中包含以下代码

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<system.webServer>
    <httpRedirect enabled="true" destination="https://yourWebsiteURL.com" />
</system.webServer>

Answer 9

在我看来，以下是最好的全方位方法。

三个原因

1. 它适用于 MVC 和 Web API，因为它是在 IIS 级别完成的。
2. 它不影响本地/调试设置。 （在您的 PC 上调试非 https 站点时，永久重定向可能会搞砸您）。
3. 使用永久重定向，因此所有未来的请求将自动转到https

只需将以下内容添加到项目的“Web.config”中的 <system.webServer> 部分即可。

 <system.webServer>
 ....

 <rewrite>
  <rules>
    <rule name="HTTP to HTTPS redirect" stopProcessing="true">
      <match url="(.*)" />
      <conditions>
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
      </conditions>
      <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
    </rule>
  </rules>
  <outboundRules>
    <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
      <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
      <conditions>
        <add input="{HTTPS}" pattern="on" ignoreCase="true" />
      </conditions>
      <action type="Rewrite" value="max-age=31536000" />
    </rule>
  </outboundRules>
</rewrite>
</system.webServer>

Answer 10

让 IIS 不使用 Rewrite 的简单方法：

1. IIS SSL 设置：设置 SSL 必需。
2. IIS 错误页面：更改 IIS 403 错误代码以重定向到 https url。

您也可以从 web.config 的 HttpErrors 部分添加。