Heroku NodeJS http 到 https ssl 强制重定向

Question

我有一个应用程序在 Heroku 上启动并运行，并在 Node.js 上使用 Express.js 和 https 。如何在 Heroku 上使用 Node.js 识别强制重定向到 https 的协议？

我的应用程序只是一个简单的 http 服务器，它（还）没有意识到 Heroku 正在向它发送 https-请求：

// Heroku provides the port they want you on in this environment variable (hint: it's not 80)
app.listen(process.env.PORT || 3000);

Answer 1

截至今天，2014 年 10 月 10 日，使用 Heroku Cedar stack 和 ExpressJS ~3.4.4，这里是一组工作代码。

这里要记住的主要事情是我们正在部署到 Heroku。在加密流量到达您的节点应用程序之前，SSL 终止发生在负载均衡器处。可以使用 req.headers['x-forwarded-proto'] === 'https' 来测试 https 是否用于发出请求。

我们不需要像在其他环境中托管一样关心应用程序内是否有本地 SSL 证书。但是，如果使用您自己的证书、子域等，您应该首先通过 Heroku 附加组件应用 SSL 附加组件。

然后只需添加以下内容即可从 HTTPS 以外的任何内容重定向到 HTTPS。
这与上面接受的答案非常接近，但是：

1. 确保您使用“app.use”（用于所有操作，而不仅仅是获取）
2. 将forceSsl逻辑显式外部化到声明的函数中
3. 不将“*”与“app.use”一起使用 - 当我这样做时，这实际上失败了
   测试了一下。
4. 在这里，我只希望在生产中使用 SSL。 （根据您的需要进行更改）

代码：

 var express = require('express'),
   env = process.env.NODE_ENV || 'development';

 var forceSsl = function (req, res, next) {
    if (req.headers['x-forwarded-proto'] !== 'https') {
        return res.redirect(['https://', req.get('Host'), req.url].join(''));
    }
    return next();
 };

 app.configure(function () {      
    if (env === 'production') {
        app.use(forceSsl);
    }

    // other configurations etc for express go here...
 });

SailsJS (0.10.x) 用户注意事项。您可以简单地在 api/policies 中创建一个策略 (enforceSsl.js)：

module.exports = function (req, res, next) {
  'use strict';
  if ((req.headers['x-forwarded-proto'] !== 'https') && (process.env.NODE_ENV === 'production')) {
    return res.redirect([
      'https://',
      req.get('Host'),
      req.url
    ].join(''));
  } else {
    next();
  }
};

然后从 config/policies.js 中引用以及任何其他策略，例如：

'*': ['已验证', 'enforceSsl']

Answer 2

答案是使用 Heroku 转发的“x-forwarded-proto”标头，因为它是代理 thingamabob。 （旁注：它们还传递了其他几个可能很方便的 x- 变量，检查它们出）。

我的代码：

/* At the top, with other redirect methods before other routes */
app.get('*',function(req,res,next){
  if(req.headers['x-forwarded-proto']!='https')
    res.redirect('https://mypreferreddomain.com'+req.url)
  else
    next() /* Continue to other routes if we're not redirecting */
})

谢谢布兰登，只是在等待 6 小时的延迟，这让我无法回答自己的问题。

Answer 3

接受的答案中有一个硬编码的域，如果您在多个域上有相同的代码（例如：dev-yourapp.com、test-yourapp.com、yourapp.com），则不太好。

请改用：

/* Redirect http to https */
app.get("*", function (req, res, next) {

    if ("https" !== req.headers["x-forwarded-proto"] && "production" === process.env.NODE_ENV) {
        res.redirect("https://" + req.hostname + req.url);
    } else {
        // Continue to other routes if we're not redirecting
        next();
    }

});

https://blog.mako.ai/2016/03/30/redirect-http-to-https-on-heroku-and-node-generally/

Answer 4

我编写了一个小型节点模块，可以在 Express 项目上强制执行 SSL。它适用于标准情况和反向代理（Heroku、nodejitsu 等）

https://github.com/florianheinemann/快速sslify

Answer 5

如果您想在本地主机上测试 x-forwarded-proto 标头，您可以使用 nginx 设置一个虚拟主机文件，该文件代理对节点应用程序的所有请求。你的 nginx vhost 配置文件可能看起来像这样

NginX

server {
  listen 80;
  listen 443;

  server_name dummy.com;

  ssl on;
  ssl_certificate     /absolute/path/to/public.pem;
  ssl_certificate_key /absolute/path/to/private.pem;

  access_log /var/log/nginx/dummy-access.log;
  error_log /var/log/nginx/dummy-error.log debug;

  # node
  location / {
    proxy_pass http://127.0.0.1:3000/;
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
  }
}

这里重要的一点是你将所有请求代理到本地主机端口 3000（这是你的节点应用程序运行的地方）并且你正在设置一堆标头，包括 X- Forwarded-Proto

然后在你的应用程序中像往常一样检测该标头

Express

var app = express()
  .use(function (req, res, next) {
    if (req.header('x-forwarded-proto') == 'http') {
      res.redirect(301, 'https://' + 'dummy.com' + req.url)
      return
    }
    next()
  })

Koa

var app = koa()
app.use(function* (next) {
  if (this.request.headers['x-forwarded-proto'] == 'http') {
    this.response.redirect('https://' + 'dummy.com' + this.request.url)
    return
  }
  yield next
})

Hosts

最后你必须将此行添加到你的 hosts 文件中

127.0.0.1 dummy.com

Answer 6

您应该查看 heroku-ssl-redirect。它就像一个魅力！

var sslRedirect = require('heroku-ssl-redirect');
var express = require('express');
var app = express();

// enable ssl redirect
app.use(sslRedirect());

app.get('/', function(req, res){
  res.send('hello world');
});

app.listen(3000);

Answer 7

如果您将 cloudflare.com 与 heroku 结合使用作为 CDN，您可以在 cloudflare 中轻松启用自动 ssl 重定向，如下所示：

1. 登录并转到您的仪表板

2. 选择页面规则

   

3. 添加您的域名，例如 www.example.com 并将始终使用 https 切换为开启
   

Answer 8

Loopback 用户可以使用 arcseldon 答案的稍微修改版本作为中间件：

server/middleware/forcessl.js

module.exports = function() {  
  return function forceSSL(req, res, next) {
    var FORCE_HTTPS = process.env.FORCE_HTTPS || false;
      if (req.headers['x-forwarded-proto'] !== 'https' && FORCE_HTTPS) {
        return res.redirect(['https://', req.get('Host'), req.url].join(''));
      }
      next();
    };
 };

server/server.js

var forceSSL = require('./middleware/forcessl.js');
app.use(forceSSL());

Answer 9

这是一种更 Express 特定的方法来执行此操作。

app.enable('trust proxy');
app.use('*', (req, res, next) => {
  if (req.secure) {
    return next();
  }
  res.redirect(`https://${req.hostname}${req.url}`);
});

Answer 10

我正在使用 Vue、Heroku 并遇到了同样的问题：

我更新了我的 server.js，如下所示，我不再碰它，因为它正在工作:)：

const serveStatic = require('serve-static')
const sts = require('strict-transport-security');
const path = require('path')

var express = require("express");

require("dotenv").config();
var history = require("connect-history-api-fallback");

const app = express()
const globalSTS = sts.getSTS({'max-age':{'days': 365}});
app.use(globalSTS);

app.use(
  history({
    verbose: true
  })
);

app.use((req, res, next) => {
  if (req.header('x-forwarded-proto') !== 'https') {
    res.redirect(`https://${req.header('host')}${req.url}`)
  } else {
    next();
  }
});

app.use('/', serveStatic(path.join(__dirname, '/dist')));
app.get(/.*/, function (req, res) {
res.sendFile(path.join(__dirname, '/dist/index.html'))
})

const port = process.env.PORT || 8080
app.listen(port)
console.log(`app is listening on port: ${port}`)

Answer 11

app.all('*',function(req,res,next){
  if(req.headers['x-forwarded-proto']!='https') {
    res.redirect(`https://${req.get('host')}`+req.url);
  } else {
    next(); /* Continue to other routes if we're not redirecting */
  }
});

Answer 12

使用 app.use 和动态 url。对我来说既可以在本地工作，也可以在 Heroku 上工作

app.use(function (req, res, next) {
  if (req.header('x-forwarded-proto') === 'http') {
    res.redirect(301, 'https://' + req.hostname + req.url);
    return
  }
  next()
});

Answer 13

正如 Derek 指出的那样，检查 X-Forwarded-Proto 标头中的协议在 Heroku 上运行良好。无论如何，这里是我使用的 Express 中间件及其相应测试的要点。