如何在php中将页面重定向到https？

Question

我有一个登录表单：

<form method =POST action="/login.php">
...
</form>

我希望将 login.php 页面重定向到使用 https。

我不想将用户发送到 https://.../login.php 因为他们可能会更改链接。但我想在解析登录表单数据并登录用户之前在服务器端进行重定向。

我找到了示例：

if($_SERVER["HTTPS"] != "on") {
   header("HTTP/1.1 301 Moved Permanently");
   header("Location: "https://" . $_SERVER["SERVER_NAME"] . $_SERVER["REQUEST_URI"]);
   exit();
}

但我没有 $_SERVER["HTTPS"] if我 var_dump($_SERVER);

我确实有 $_SERVER['SERVER_PORT'] 女巫是 80。

有什么想法吗？

谢谢

Answer 1

如果您允许他们通过纯 HTTP 发布到 /login.php，然后重定向到 HTTPS，那么您就达不到使用 HTTPS 的目的，因为登录信息已经通过互联网以纯文本形式发送。

为了防止用户更改 URL，您可以采取的措施是，如果不是通过 HTTPS，登录页面将拒绝登录。

我用来检查 HTTPS 的使用情况如下：

if (!isset($_SERVER['HTTPS']) || !$_SERVER['HTTPS']) {
    // request is not using SSL, redirect to https, or fail
}

如果您在默认端口 443 上运行安全服务器，那么您还可以检查这是否是该端口，但 PHP 设置了 $_SERVER如果使用 SSL，['HTTPS'] 值为非空，因此我将检查是否存在该值以获得最佳实践。

编辑：

如果用户手动将 https 更改为 http 并希望通过纯文本发送其信息，则您无法阻止他们，但如果您不允许通过 HTTP 登录，那么即使是正确的信息不会让他们登录，您可以通过使其成为唯一有效的方式来强制他们使用 https。

Answer 2

无论您使用什么页面显示登录表单，在填写表单之前都应该已经使用 https://，然后应将其提交到另一个 https :// 地址。否则，您将使表单容易受到攻击。

您可以查看 mod_rewrite 使用 http 自动重定向任何请求:// 到 https://，至少对于您的登录页面而言。

Answer 3

if($requireSSL && $_SERVER['SERVER_PORT'] != 443) {
    header("HTTP/1.1 301 Moved Permanently");
    header("Location: https://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']);
    exit();
}

Answer 4

假设您的登录表单页面是由 index.php 生成的，您需要将 HTTP 到 HTTPS 重定向的示例代码放在 index.php 中。这将确保当用户填写表单并提交时，它会通过 HTTPS 而不是 HTTP 提交到 /login.php。

将此检查放入 login.php 中是徒劳的，因为当 login.php 获取请求并尝试重定向到相应的 HTTPS URL 时，凭据已经以纯文本形式提交给它，这是您应该避免的。

您会看到 $_SERVER['SERVER_PORT'] 为 80 且 $_SERVER["HTTPS"] 未设置，当您将检查放入 login.php 进一步证明登录凭据是通过 HTTP 提交给它的，因此登录凭据从客户端到达您的服务器时未加密。必须遵循我在本回复第一段中所说的内容来避免这种情况。

顺便说一句，我不会使用 PHP 来进行这种重定向。 Apache HTTPD 中的 mod_rewrite 可以非常方便地处理此类重定向。

例如，假设您的登录页面可通过 URL http://example.com/foo/ 访问：

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^foo/$ https://%{HTTP_HOST}%{REQUEST_URI} [R,L]