IIS 7.5 URL 重写 - 对于帐户控制器，从 http 重定向到 https，对于其他所有内容，从 https 重定向到 http

Question

我已经找到了完成这项工作所需的一些东西，但无法将所有内容整合到一个可行的解决方案中。

我正在一个 Intranet 站点上工作，并且希望使用 https 来保护*仅我的帐户控制器上的登录和注销操作。我已经正确安装了证书，并且可以使用 UrlRewrite 规则成功地将这些控制器操作的流量重定向到 https：

<rule name="Redirect to HTTPS" stopProcessing="true">
    <match url="^account/logon$|^account/logoff$" />
        <conditions>
            <add input="{HTTPS}" pattern="^OFF$" />
        </conditions>
    <action type="Redirect" url="https://{HTTP_HOST}/{R:0}" redirectType="Permanent" />
</rule>

但是现在，我还想重定向 *我网站的所有其余请求（除了两个操作的流量之外）回到http。我对争论这种方法的优点不感兴趣，因为我有我认为想要从 https 重定向回 http 的正当理由。

我尝试在操作中编写一些代码来实现此目的，但遇到了重大问题。我不知道这是因为我正在使用两个负载平衡服务器还是什么，但我尝试的任何操作都会给我一条“重定向太多”错误消息。

因此，有两个问题：

1. 使用 UrlRewrite 规则重定向出 https 或控制器操作是否更好？
2. 有谁有一个有效的代码示例或至少可以让我开始走上正确道路的东西吗？

非常感谢任何帮助！

Answer 1

迟到总比不到好。这可能会对您或其他人有所帮助。

<rule name="Redirect to HTTP">
        <match url="secureDir/(.*)" negate="true" />
        <conditions>
          <add input="{HTTPS}" pattern="^ON$" />
        </conditions>
        <action type="Redirect" url="http://{HTTP_HOST}{REQUEST_URI}" />
      </rule>

      <rule name="Redirect to HTTPS" stopProcessing="true">
        <match url="secureDir/(.*)" />
        <conditions>
          <add input="{HTTPS}" pattern="^OFF$" />
        </conditions>
        <action type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" />
      </rule>

Answer 2

首先，就非页面资源而言，您将面临一些挑战 - 如何引用图像和样式表？

至于手头的问题，我认为您想强制网络服务器的上游，例如负载均衡器。我还将通过添加 RequireHttps 属性来支持帐户控制器。

最后，请记住，即使登录过程是安全的，如果该 cookie 不是通过 HTTPS 传输，您很容易就会遇到类似 firesheep 的情况。

Answer 3

我有一些代码这里可以让你可以用属性来控制它。

MVC 已经有一个 [RequireHttps] 属性，您可以将其应用于登录/注销页面。我的代码扩展了这种方法，并为您提供了一个额外的 [ExitHttpsIfNotRequired] 属性。将此属性应用于您的基本控制器后，当您尝试使用 HTTPS 访问任何没有 [RequireHttps] 的操作时，它会将您重定向到 HTTP。