Rails 3.1 强制常规 HTTP

Question

之前，我一直在使用 ssl_requirement 来对哪些页面通过 ssl 提供服务以及哪些页面通过 ssl 进行精细控制。通过纯 http 提供服务。

根据 ssl_requirement 自己的 wiki，它已被 Rails 3.1 的 强制 SSL。然而，情况似乎并非如此。 Force SSL 似乎没有提供相反方向的选项，没有办法强制页面通过常规 http 发送。

强制页面以纯 http 显示的正确 Rails 3.1 方法是什么？ Force SSL 真的能取代 ssl_requirement 吗？

Answer 1

正义所说。有些人强烈推荐使用 SSL 浏览所有内容。现在，监听非 SSL 会话已经变得轻而易举，因此您应该竭尽全力为想要使用它的人提供便利。

然而。

使用 before_filter 应该很容易完成：

class ApplicationController < ActionController::Base
  before_filter do
    if request.ssl? && Rails.env.production?
      redirect_to :protocol => 'http://', :status => :moved_permanently
    end
  end
end

Answer 2

Force SSL 的代码非常容易阅读。

https://github.com/rails/rails /blob/master/actionpack/lib/action_controller/metal/force_ssl.rb

它似乎没有做相反的事情并强制使用http。它提供了 only 和 except 选项来控制哪些操作和控制器需要 SSL，但没有提供强制使用 HTTP 而不是 https 的方法。

Answer 3

要以与 force_ssl 完全相同的方式使用 force_non_ssl，请检查此 Rails 问题：https://gist.github.com/joost/6989118

接受以下选项：

force_non_ssl only: :show
force_non_ssl except: :show, notice: "Hi this is now insecure :)"

Answer 4

我将 joost 的代码简化为我需要的一切。谢谢乔斯特

if request.ssl?
  options = {
    :protocol => 'http://',
    :host     => request.host,
    :path     => request.fullpath,
    :status   => :moved_permanently
  }
  non_secure_url = ActionDispatch::Http::URL.url_for(options.slice(*URL_OPTIONS))
  redirect_to non_secure_url, options.slice(*REDIRECT_OPTIONS)
end

Answer 5

对于那些像我一样只需要在本地计算机上短时间禁用整个应用程序的 force_ssl 行为的人，您可以简单地在您的 ApplicationController 中执行此操作：

def self.force_ssl *a
  warn "force_ssl disabled globally"
end

只需确保不要将其提交到您的代码库。

Answer 6

为什么您想要强制使用 HTTP 而不是 HTTPS？

我们中的许多人到处都使用 SSL 进行浏览。请不要仅仅因为您不喜欢帮助我们解决自身安全问题而将我们其他人置于危险之中。

对于我们大多数人来说，安全性很重要，即使我们大多数人不了解其重要性或不知道如何获得它。对于我们中的一些人来说，安全是生死攸关的。

某些页面必须通过 SSL 提供服务。尽管在我看来，如果您网站的任何部分需要通过 SSL 提供服务，那么整个网站都需要它（MITM 可以将 SSL 页面的链接更改为它在非 SSL 页面上呈现以指向 MITM 控制的非 SSL 代理）。 从来没有任何页面需要使用 SSL 来提供服务。