安全组件在 https 上给出“安全”黑洞错误

Question

刚刚移动服务器，现有代码现在出现了一个奇怪的问题。

代码的重点是捕捉“安全”黑洞错误，并将其重定向到该页面的安全版本。它在旧服务器上执行此操作，但现在表现得很奇怪。

// App Controller

public function beforeFilter() {
    $this->Security->blackHoleCallback = 'blackhole';
}

public function blackhole($type) {
    switch($type) {
        case 'secure':
            debug(Router::url($this->here, true));
            exit;
            $this->redirect('https://' . env('SERVER_NAME') . $this->here);
            break;
    }
}

调试显示：`http://www.example.com/'

但我的浏览器显示“https://www.example.com/”（注意 S）

Answer 1

更好的答案是根本不使用此功能。

您不应该在代码中重定向到 HTTPS。您应该使用Strict-Transport-Security。这仍然涉及重定向，但还涉及设置附加标头。

您可以使用 mod_ssl 的功能：

SSLOptions +StrictRequire
SSLRequireSSL

请注意，SSLRequireSSL 指令将拒绝所有未启用 SSL 的请求。

还有一个正常的重定向：

RewriteCond %{HTTPS} !=on
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R,L]

这基本上重写了使用 HTTPS 作为 403 重定向的请求。

您还想设置Strict-Transport-Security 标头：

Header set Strict-Transport-Security "max-age=8640000;includeSubdomains"

完成了。无需与 Cake 合作。在服务器级别处理它，因为那是服务器级别。这意味着甚至没有错误的请求可以进入......

Answer 2

我在这里的一个类似问题中找到了答案：How can I securely detect SSL in CakePHP behind an nginx reverse proxy?

添加request detector：

//AppController::beforeFilter
public function beforeFilter() {
    $this->request->addDetector('ssl', array(
        'env' => 'HTTP_X_FORWARDED_PROTO',
        'value' => 'https'
    ));
}

我的应用现在可以正确检测 HTTPS。

Answer 3

public function beforeFilter() {
  $this->Security->blackHoleCallback = 'blackhole';
  $this->Security->requireSecure();
}