如何在asp.net mvc中从https跳出到http模式

Question

我通过在控制器操作上添加属性 [RequireSSL] 使我的登录页面启用了 Https，并且工作正常。但登录成功后仍处于https环境，但页面为非https页面。 谁能给我解决如何从 https 模式退出到 http 模式的问题吗？ 在这方面的任何帮助将不胜感激。

Answer 1

您基本上需要做相反的事情，即具有 [DoesNotRequireSSL] 属性，该属性实际上与 {RequireSSL] 属性相反，即重定向到 http 协议

public class DoesNotRequireSSL: ActionFilterAttribute 
    {
        public override void OnActionExecuting(ActionExecutingContext filterContext) 
        {
            var request = filterContext.HttpContext.Request;
            var response = filterContext.HttpContext.Response;

            if (request.IsSecureConnection && !request.IsLocal) 
            {
            string redirectUrl = request.Url.ToString().Replace("https:", "http:");
            response.Redirect(redirectUrl);
            }
            base.OnActionExecuting(filterContext);
        }
    }

另外，如果您想确保多个页面具有此行为，您可以设置一个基本控制器，所有非 http 控制器都可以从中继承，因此您不必担心必须为每个需要它的页面重复自己。

Answer 2

警告：我也有类似的问题。我学到的一件重要的事情是，在切换回 HTTP 后，您的 auth cookie 将通过纯文本发送。 请参阅此。

警告 2：不要忘记考虑可怕的您将被重定向到不安全的连接消息

如果您正在编写银行应用程序，则需要非常小心 - 并且还意识到公共 WiFi 连接上的用户数量不断增加，这些用户很可能[esily]通过一些偷偷摸摸的代理进行传输。对于主流网站来说，这可能是一个更大的问题，但也是我们所有人都应该意识到的问题。

另请参阅我的其他问题（当时没有答案写作 - 但后来我只是问了它！）

Answer 3

我知道这是一个相当老的问题，但是上面提供的许多链接都已失效，此代码通过对系统中包含的 RequireHttpsAttribute 进行一些轻微修改来解决 ASP.NET MVC 5 的问题.Web.Mvc 命名空间：

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
public class ForbidHttpsAttribute : FilterAttribute, IAuthorizationFilter
{
    public virtual void OnAuthorization(AuthorizationContext filterContext)
    {
        if (filterContext == null)
        {
            throw new ArgumentNullException("filterContext");
        }

        if (filterContext.HttpContext.Request.IsSecureConnection)
        {
            HandleHttpsRequest(filterContext);
        }
    }

    protected virtual void HandleHttpsRequest(AuthorizationContext filterContext)
    {
        // only redirect for GET requests, otherwise the browser might not propagate the verb and request
        // body correctly.

        if (!String.Equals(filterContext.HttpContext.Request.HttpMethod, "GET", StringComparison.OrdinalIgnoreCase))
        {
            throw new InvalidOperationException("The requested resource can only be accessed *without* SSL.");
        }

        // redirect to HTTP version of page
        var url = "http://" + filterContext.HttpContext.Request.Url.Host + filterContext.HttpContext.Request.RawUrl;
        filterContext.Result = new RedirectResult(url);
    }
}

代码来自这篇文章，该文章还简要讨论了强制用户从 HTTPS 重定向到 HTTP 的一些安全问题。