asp.net c# 从http重定向到https

Question

因此，在我的代码中，我想检测我的登录页面是否被称为 http，并将其重定向到 https。

我知道有非代码方法可以给这只猫剥皮，但出于令人沮丧的技术原因，我支持用代码来做这件事。

            if (!Request.IsSecureConnection)
            {
                string redirectUrl = Request.Url.ToString().Replace("http:", "https:");
                Response.Redirect(redirectUrl);
            }

因此，我将其放入 Page_Load(...) 中，确保我的调试器使用真正的 IIS，而不是 VS2008s IIS，然后点击调试。

在调试器中，沿着华尔兹舞曲，点击 Response.Redirect("https://localhost/StudentPortal3G/AccessControl/AdLogin.aspx"), 按 f5。

获取“Internet Explorer 无法显示网页，url 是 HTTP，而不是 HTTPS。 没有收到信息错误...同样的事情发生在调试器中没有运行。

那么我错过了什么？它看起来并不像火箭科学，我在很多博客上看到过类似的代码......

我做错了什么？我认为这一定是一个完全明显的新秀错误，但我没有看到它。

Answer 1

我也会执行 !Request.IsLocal 来确保我没有进行调试，但如果您使用的是 IIS 的真实实例，并且在调试时应用了证书，则不应进行调试一个问题。

if (!Request.IsLocal && !Request.IsSecureConnection)
{
    string redirectUrl = Request.Url.ToString().Replace("http:", "https:");
    Response.Redirect(redirectUrl, false);
    HttpContext.ApplicationInstance.CompleteRequest();
}

注意：此答案假设控制器内有一个 MVC 上下文，其中 HttpContext 是保存当前上下文的属性。如果您不幸仍在使用 WebForms 或以退化方式引用上下文，则需要使用 HttpContext.Current.ApplicationInstance.CompleteRequest()。

注意：我已将此更新为与根据 框架文档。

当您在页面处理程序中使用此方法来终止对
一个页面并开始另一个页面的新请求，将 endResponse 设置为
false，然后调用 CompleteRequest 方法。如果指定 true
对于 endResponse 参数，此方法调用 End 方法
原始请求，抛出 ThreadAbortException 异常
当它完成时。此异常对 Web 产生不利影响
应用程序性能，这就是为什么传递 false 的原因
建议使用 endResponse 参数。欲了解更多信息，请参阅
结束方法。

Answer 2

我通常从我的所有页面继承的基类中的 OnPreInit 调用以下内容。当然，您可以在每个页面中执行此操作...但您现在不想这样做，对吗？

请注意，我为每个页面设置了两个属性，以便我可以为每个页面指定 SSL 要求 (RequiresSSL)，同时我还可以根据需要覆盖和重定向检查（使用 IgnoreRequiresSSL，这对于您需要的错误页面等页面很有帮助）重写并且不知道它们是否会被加密），但是当然，您可以删除它们以进行简单的设置。

    protected override void OnPreInit(EventArgs e)
    {
        base.OnPreInit(e);

        if (!IsPostBack)
            RedirectAccordingToRequiresSSL();

        ...
    }

    /// <summary>
    /// Redirect if necessary to ssl or non-ssl enabled URL dependant on RequiresSSL property setting.
    /// </summary>
    private void RedirectAccordingToRequiresSSL()
    {
        if (IgnoreRequiresSSL) return;

        if (RequiresSSL)
        {
            if (!Request.IsSecureConnection) // Need to redirect to https
                RedirectAccordingToRequiresSSL(Uri.UriSchemeHttps);
        }
        else if (Request.IsSecureConnection)
        {
            RedirectAccordingToRequiresSSL(Uri.UriSchemeHttp);
        }

        // Otherwise don't need to do any redirecting as already using the correct scheme
    }

    /// <summary>
    /// Redirect as requested to specified scheme
    /// </summary>
    /// <param name="scheme"></param>
    private void RedirectAccordingToRequiresSSL(string scheme)
    {
        var url = scheme + Uri.SchemeDelimiter + Request.Url.Authority + Request.Url.PathAndQuery;
        Response.Redirect(url, false);
    }

Answer 3

我认为以下是最好的全面方法。

三个原因

1. 它适用于 MVC 和 Web API，因为它是在 IIS 级别完成的。
2. 它不会影响本地/调试设置。 （在电脑上调试非 https 站点时，永久重定向可能会让您陷入困境）。
3. 使用永久重定向，因此所有将来的请求都会自动转到 https

只需将以下内容添加到“Web.config”中的 部分即可项目。

 <system.webServer>
 ....

 <rewrite>
  <rules>
    <rule name="HTTP to HTTPS redirect" stopProcessing="true">
      <match url="(.*)" />
      <conditions>
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
      </conditions>
      <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" />
    </rule>
  </rules>
  <outboundRules>
    <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
      <match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
      <conditions>
        <add input="{HTTPS}" pattern="on" ignoreCase="true" />
      </conditions>
      <action type="Rewrite" value="max-age=31536000" />
    </rule>
  </outboundRules>
</rewrite>
</system.webServer>

Answer 4

您还可以使用新的 UriBuilder：

Dim context As HttpContext = HttpContext.Current
If Not context.Request.IsSecureConnection Then
    Dim secureUrl As New UriBuilder(context.Request.Url)
    secureUrl.Scheme = "https"
    secureUrl.Port = 443
    context.Response.Redirect(secureUrl.ToString, False)
    Return
End If

C#

HttpContext context = HttpContext.Current;
if (!context.Request.IsSecureConnection)
{
    UriBuilder secureUrl = new UriBuilder(context.Request.Url);
    secureUrl.Scheme = "https";
    secureUrl.Port = 443;
    context.Response.Redirect(secureUrl.ToString(), false);
}

Answer 5

我能够强制执行 https 重定向的方法之一如下：

在应用程序池中，我让应用程序仅在端口 443 上运行，这样就不可能发生未加密的会话（除非加密方案被突破）一个漏洞..）。我在端口 80 上创建了另一个具有相同 IP 地址的应用程序，其中仅包含一个带有以下代码的 web.config 文件

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<system.webServer>
    <httpRedirect enabled="true" destination="https://yourWebsiteURL.com" />
</system.webServer>

Answer 6

这是我的解决方案：

// Force HTTPS connection
if (!Request.IsSecureConnection)
{
    var uri = new Uri(Request.Url.ToString());
    var redirectUrl = Settings.CanonicalDomain + uri.PathAndQuery;
    Response.Status = "301 Moved Permanently";
    Response.AddHeader("Location", redirectUrl);
    Response.End();
}

其中 Settings.CanonicalDomain 是您的 HTTPS 主机名。它进行 301 重定向，这在某些情况下可能是正确的响应。

Answer 7

我还建议 tvalfonsso 的解决方案，但需要进行一些小的修改，以防您进行一些 url 重写（RawUrl 与 Url 不同）

    if (SPPage == SPPages.StartAutotrading && !Request.IsLocal && !Request.IsSecureConnection)
        {
            string redirectUrl = (Request.Url.ToString().Replace(Request.Url.PathAndQuery.ToString(), "") + Request.RawUrl).Replace("http:", "https:");
            Response.Redirect(redirectUrl);
        }

Answer 8

免责声明 - 我参与了该项目的开发

我建议使用 http:// nuget.org/packages/SecurePages/ 它使您能够保护特定页面或使用正则表达式定义匹配项。它还将强制所有不匹配正则表达式或直接指定的页面返回 HTTP。

您可以通过 NuGet 安装它：Install-Package SecurePages

文档位于：https://github.com/webadvanced/Secure-Page-manager-for-asp.net#secure-pages

简单用法：

SecurePagesConfiguration.Urls.AddUrl("/cart");

或

SecurePagesConfiguration.Urls.AddRegex(@"(.*)account", RegexOptions.IgnoreCase | RegexOptions.Compiled | RegexOptions.Singleline);

Answer 9

在我的开发环境中，我喜欢有一个单独的发布目录，其中安装了带有自签名证书的 IIS，这与我直接在 Visual Studio 中调试的没有证书的代码目录不同。在这种情况下 !Request.IsLocal 并不理想，因为它无法在开发环境中的任何位置工作，即使在具有证书的 IIS 目录中也是如此。我更喜欢这个：

if (!IsPostBack && !HttpContext.Current.IsDebuggingEnabled) 
{
    // do http->https and https->http redirection here
}

HttpContext.Current.IsDebuggingEnabled 基于 web.config 中编译 debug="true/false" 的值。当我需要在本地测试 http 和 https 重定向时，我在代码目录中将其设置为 true，在发布目录中将其设置为 false。

我添加 IsPostBack 只是为了在不需要时跳过额外的 ssl 检查来使其（稍微）更高效。

Answer 10

让 IIS 在不使用重写的情况下执行此操作的简单方法：

1. IIS SSL 设置：设置 SSL 必需。
2. IIS 错误页面：更改 IIS 403 错误代码以重定向到 https url。

您还可以从 web.config 的 HttpErrors 部分添加。