为什么一旦在操作级别使用 [RequireHttps] 启用 SSL，它就会永远保持启用状态？

Question

我们只想在严格要求时才使用 https。为什么在调用如下操作后它会永远保持启用状态？

    [RequireHttps]
    public ActionResult LogIn()
    {
        if(Request.IsAuthenticated)
            return RedirectToAction("Index", "Account");

        return View();
    }

当不需要时我们可以做什么来禁用它？

谢谢。

Answer 1

[RequireHttps] 属性可以用在控制器类型或操作方法上，表示“只能通过 SSL 访问”。对控制器或操作的非 SSL 请求将被重定向到 SSL 版本（如果是 HTTP GET）或被拒绝（如果是 HTTP POST）。如果您愿意，您可以重写 RequireHttpsAttribute 并更改此行为。没有内置的 [RequireHttp] 属性可以起到相反的作用，但如果您愿意，您可以轻松创建自己的属性。

还有 Html.ActionLink() 的重载，它采用协议参数；您可以明确指定“http”或“https”作为协议。以下是关于此类重载的 MSDN 文档。如果您未指定协议或者调用没有协议参数的重载，则假定您希望链接具有与当前请求相同的协议。

我们在 MVC 中没有 [RequireHttp] 属性的原因是它没有太多好处。它不像[RequireHttps]那么有趣，而且它鼓励用户做错误的事情。例如，许多网站通过 SSL 登录，并在您登录后重定向回 HTTP，这绝对是错误的做法。您的登录 cookie 与您的用户名 + 密码一样保密，现在您可以通过网络以明文形式发送它。此外，在 MVC 管道运行之前，您已经花时间执行握手并保护通道（这是使 HTTPS 比 HTTP 慢的主要原因），因此 [RequireHttp] 不会发出当前请求或将来的请求请求速度更快。

如果您托管 utube，请将嵌入更改为使用 HTTPS 而不是 HTTP
如果您在没有正确注销的情况下从 HTTPS 下拉到 HTTP（请参阅 http://msdn.microsoft.com/en-us/library/system.web.security.formsauthentication.signout.aspx ）您的用户名+密码是公开的。仅仅调用 SignOut 是不够的。

Answer 2

我使用此操作过滤器，当 https 操作完成时，它会重定向回 http：

using System.Web.Mvc;
using System;
public class ExitHttpsIfNotRequiredAttribute : FilterAttribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationContext filterContext)
    {
        // abort if it's not a secure connection
        if (!filterContext.HttpContext.Request.IsSecureConnection) return;

        // abort if a [RequireHttps] attribute is applied to controller or action
        if (filterContext.ActionDescriptor.ControllerDescriptor.GetCustomAttributes(typeof(RequireHttpsAttribute), true).Length > 0) return;
        if (filterContext.ActionDescriptor.GetCustomAttributes(typeof(RequireHttpsAttribute), true).Length > 0) return;

        // abort if a [RetainHttps] attribute is applied to controller or action
        if (filterContext.ActionDescriptor.ControllerDescriptor.GetCustomAttributes(typeof(RetainHttpsAttribute), true).Length > 0) return;
        if (filterContext.ActionDescriptor.GetCustomAttributes(typeof(RetainHttpsAttribute), true).Length > 0) return;

        // abort if it's not a GET request - we don't want to be redirecting on a form post
        if (!String.Equals(filterContext.HttpContext.Request.HttpMethod, "GET", StringComparison.OrdinalIgnoreCase)) return;

        // redirect to HTTP
        string url = "http://" + filterContext.HttpContext.Request.Url.Host + filterContext.HttpContext.Request.RawUrl;
        filterContext.Result = new RedirectResult(url);
    }
}