在仅 HTTPS 的站点上正确响应 HTTP HEAD 请求

Question

我们有一个只能通过 HTTPS 访问的 ASP.Net MVC3 站点，方法是使用控制器上的 RequireHTTPS 属性。

我们收到大量 HTTP HEAD 方法请求，主要来自 Twitter 机器人。默认的 ASP.Net/MVC3 响应是“500 内部服务器错误”，并且由 elmah 和 log4net 捕获/记录（现已过滤掉！）。

我可以根据这个问题编写一个特定的控制器和路由来处理这些非 HTTPS 请求 - 在 asp.NET MVC 3 中响应 HEAD 请求。

但是，从机器人的角度来看，最好的回应是什么？ 200 表示服务器处于活动状态，302 重定向到 HTTPS url，还是坚持使用 500，因为该网站无法通过 HTTP 访问？

Answer 1

回应

405 Method Not Allowed

你可以用以下方式

Request-URI 标识的资源不允许使用 Request-Line 中指定的方法。响应必须包含一个Allow标头，其中包含所请求资源的有效方法列表。

或用

501 Not Implemented

什么手段

服务器不支持完成请求所需的功能。当服务器无法识别请求方法并且无法支持任何资源时，这是适当的响应。

就我个人而言，我会选择 405 因为这是客户端的错误，“嘿伙计，我们这里不提供这些东西。” 似乎更适合我比“你到底在说什么？我听不懂。”之一，后者是由服务器无法识别请求方法位建议的501 描述。

所有 HTTP 状态代码： http://www.w3.org/Protocols/ rfc2616/rfc2616-sec10.html

Answer 2

就我而言，我只在网站 / 的根目录上收到 HEAD 请求，这看起来像是机器人探测。所以，我有点担心返回 500 或 404。

更多关于 405

根据 Albireo 的回答，405 可能没问题，但你需要返回接受的动词，例如：

// 405 must include allowable methods.
// https://tools.ietf.org/html/rfc2616#section-14.7
httpContext.Response.StatusCode = (int)HttpStatusCode.MethodNotAllowed;
httpContext.Response.AddHeader( "Allow", "GET" );

302 选项

查看 MVC 代码中不重定向 HEAD 请求的注释：

//only redirect for GET requests, otherwise the browser might not propagate the verb and request
//body correctly.

似乎另一个选择是发送 302。返回 302 应该相当安全到 HTTPS 站点，以便 bot HEAD 请求根目录（这就是 MVC 对 GET 所做的操作）。因此，我根据 MVC 的方式实现了以下内容：

if( isHead == true && isRoot == true )
{
    httpContext.ClearError();
    httpContext.Response.Clear();                    
    httpContext.Response.StatusCode = 302;
    string url = "https://" + httpContext.Request.Url.Host + httpContext.Request.RawUrl;
    httpContext.Response.Redirect(url, endResponse: false);                    
    return;
}

在 global.asax.cs 中实现：

protected void Application_Error( object sender, EventArgs e )
{
     //Your code here
}