使用 .htaccess 和 mod_rewrite 强制使用 SSL/https

Question

如何使用 PHP 中特定的 .htaccess 和 mod_rewrite 页面强制使用 SSL/https。

Answer 1

对于 Apache，您可以使用 mod_ssl 来使用 SSLRequireSSL 指令 强制使用 SSL :

除非当前连接启用了 HTTP over SSL（即 HTTPS），否则该指令将禁止访问。这在启用 SSL 的虚拟主机或目录中非常方便，可以防止配置错误暴露应受保护的内容。当此指令存在时，所有不使用 SSL 的请求都会被拒绝。

但这不会重定向到 https。要重定向，请使用 mod_rewrite 尝试以下操作在您的 .htaccess 文件中

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

中给出的任何各种方法

• 或http:// 中www.askapache.com/htaccess/http-https-rewriterule-redirect.html

如果您的提供商禁用了 .htaccess（这不太可能，因为您要求这样做，但无论如何），您也可以在 PHP 中解决此问题

if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] !== 'on') {
    if(!headers_sent()) {
        header("Status: 301 Moved Permanently");
        header(sprintf(
            'Location: https://%s%s',
            $_SERVER['HTTP_HOST'],
            $_SERVER['REQUEST_URI']
        ));
        exit();
    }
}

Answer 2

PHP 解决方案

直接借用 Gordon 非常全面的答案，我注意到您的问题提到了强制 HTTPS/SSL 连接时特定于页面的问题。

function forceHTTPS(){
  $httpsURL = 'https://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'];
  if( count( $_POST )>0 )
    die( 'Page should be accessed with HTTPS, but a POST Submission has been sent here. Adjust the form to point to '.$httpsURL );
  if( !isset( $_SERVER['HTTPS'] ) || $_SERVER['HTTPS']!=='on' ){
    if( !headers_sent() ){
      header( "Status: 301 Moved Permanently" );
      header( "Location: $httpsURL" );
      exit();
    }else{
      die( '<script type="javascript">document.location.href="'.$httpsURL.'";</script>' );
    }
  }
}

然后，在靠近您想要强制通过 PHP 连接的这些页面的顶部，您可以 require() 一个包含此（以及任何其他）自定义函数的集中文件，然后只需运行forceHTTPS() 函数。

HTACCESS / mod_rewrite 解决方案

我个人还没有实现过这种解决方案（我倾向于使用 PHP 解决方案，如上面的解决方案，因为它很简单），但以下至少可能是一个好的开始。

RewriteEngine on

# Check for POST Submission
RewriteCond %{REQUEST_METHOD} !^POST$

# Forcing HTTPS
RewriteCond %{HTTPS} !=on [OR]
RewriteCond %{SERVER_PORT} 80
# Pages to Apply
RewriteCond %{REQUEST_URI} ^something_secure [OR]
RewriteCond %{REQUEST_URI} ^something_else_secure
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]

# Forcing HTTP
RewriteCond %{HTTPS} =on [OR]
RewriteCond %{SERVER_PORT} 443
# Pages to Apply
RewriteCond %{REQUEST_URI} ^something_public [OR]
RewriteCond %{REQUEST_URI} ^something_else_public
RewriteRule .* http://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]

Answer 3

基于 Mod-rewrite 的解决方案：

在 htaccess 中使用以下代码自动将所有 http 请求转发到 https。

RewriteEngine on

RewriteCond %{HTTPS}::%{HTTP_HOST} ^off::(?:www\.)?(.+)$
RewriteRule ^ https://www.%1%{REQUEST_URI} [NE,L,R]

这会将您的非 www 和 www http 请求重定向到 www 版本的 https。

另一个解决方案（Apache 2.4*）

RewriteEngine on

RewriteCond %{REQUEST_SCHEME}::%{HTTP_HOST} ^http::(?:www\.)?(.+)$
RewriteRule ^ https://www.%1%{REQUEST_URI} [NE,L,R]

这不适用于较低版本的 apache，因为自 2.4 以来，%{REQUEST_SCHEME} 变量被添加到 mod-rewrite 中。

Answer 4

我只想指出，在跨目录深度使用多个 .htaccess 文件时，Apache 有最糟糕的继承规则。两个关键陷阱：

• 默认情况下，只会执行最深的 .htaccess 文件中包含的规则。您必须指定 RewriteOptions InheritDownBefore 指令（或类似指令）来更改此设置。 （参见问题）
• 该模式应用于相对于子目录的文件路径，而不是包含具有给定规则的 .htaccess 文件的上层目录。 （参见讨论）

这意味着 Apache Wiki 如果您在子目录中使用任何其他 .htaccess 文件，则无法工作。我写了一个修改版本，它的作用是：

RewriteEngine On
# This will enable the Rewrite capabilities

RewriteOptions InheritDownBefore
# This prevents the rule from being overrided by .htaccess files in subdirectories.

RewriteCond %{HTTPS} !=on
# This checks to make sure the connection is not already HTTPS

RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [QSA,R,L]
# This rule will redirect users from their original location, to the same location but using HTTPS.
# i.e.  http://www.example.com/foo/ to https://www.example.com/foo/

Answer 5

简单又容易，只需添加以下内容

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Answer 6

这段代码对我有用

RewriteEngine On
RewriteBase /
RewriteCond %{HTTP:X-HTTPS} !1
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Answer 7

我将其写入 .htaccess 文件中，它有效

RewriteEngine on
SetEnvIf X-Forwarded-Proto https SERVER_PORT=443
SetEnvIf X-Forwarded-Proto https HTTPS=on
RewriteCond %{HTTP:HTTPS} !=on [NC]
RewriteRule ^(.*)$ https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]

Answer 8

简单一：

RewriteEngine on
RewriteCond %{HTTP_HOST} ^(www\.example\.com)(:80)? [NC]
RewriteRule ^(.*) https://example.com/$1 [R=301,L]
order deny,allow

将您的网址替换为 example.com

Answer 9

试试这个代码，它适用于所有版本的网址，例如

• website.com
• www.website.com
• http://website.com

• http://www.website.com

  RewriteCond %{HTTPS} 关闭
  RewriteCond %{HTTPS_HOST} !^www.website.com$ [NC]
  重写规则 ^(.*)$ https://www.website.com/$1 [L,R=301]