Bir web.config dosyası kullanarak HTTPS'yi zorlama

Google ve StackOverflow bu konuda bir çözüm bulmaya çalışırken aradım, ama hepsi ASP.NET vb ile ilgili gibi görünüyor.

Genellikle sunucularımda Linux çalıştırıyorum, ancak bu tek istemci için Windows'u IIS 7.5 (ve Plesk 10) ile kullanıyorum. IIS ve web.config dosyalarına biraz aşina olmamın nedeni budur . Bir .htaccessdosyada, protokolün HTTPS olup olmadığını tespit etmek ve yeniden yönlendirmek için yeniden yazma koşullarını kullanabilirsiniz. Bir var mı basit yolu bu bir web.config dosyasını kullanarak, hatta 'kullanarak elde etmek için yeniden yazılan URL ben yüklediğinizi' modülünü?

Ben ASP.NET ile hiçbir deneyimi bu çözümde söz konusu ise o zaman nasıl uygulanacağı net adımlar ekleyin böylece.

PHP değil , web.config ile bunu yapmamın nedeni , site içindeki tüm varlıklarda HTTPS'yi zorlamak istememdir.

URL Rewrite modülüne, tercihen v2'ye ihtiyacınız var (yüklü v1'im yok, bu yüzden orada çalışacağını garanti edemiyorum, ama olmalı).

İşte böyle bir web.config örneği - TÜM kaynaklar için HTTPS'yi zorlar (301 Kalıcı Yeniden Yönlendirme kullanarak):

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <clear />
                <rule name="Redirect to https" stopProcessing="true">
                    <match url=".*" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" redirectType="Permanent" appendQueryString="false" />
                </rule>
            </rules>
        </rewrite>
    </system.webServer>
</configuration>

PS Bu özel çözüm, ASP.NET/PHP veya başka bir teknoloji ile ilgisi yoktur, çünkü yalnızca URL yeniden yazma modülü kullanılarak yapılır - istek, kodunuzun bulunduğu noktaya gelmeden önce başlangıç ​​/ düşük seviyelerden birinde işlenir idam edilir.

ASP.NET MVC kullananlar için. Tüm yanıtları HTTPS olmaya zorlamak için RequireHttpsAttribute öğesini kullanabilirsiniz :

GlobalFilters.Filters.Add(new RequireHttpsAttribute());

Sitenizin güvenliğini sağlamak için yapmak isteyebileceğiniz diğer şeyler:

1. Sahtecilikle Mücadele belirteçlerini SSL / TLS kullanmaya zorla:

   AntiForgeryConfig.RequireSsl = true;

2. Web.config dosyasını değiştirerek Tanımlama Bilgilerinin varsayılan olarak HTTPS gerektirmesini iste:

   <system.web>
       <httpCookies httpOnlyCookies="true" requireSSL="true" />
   </system.web>
   

3. NWebSec.Owin NuGet paketini kullanın ve site genelinde Sıkı Aktarım Güvenliği'ni (HSTS) etkinleştirmek için aşağıdaki kod satırını ekleyin. Aşağıdaki Ön Yükleme yönergesini eklemeyi ve sitenizi HSTS Ön Yükleme sitesine göndermeyi unutmayın . Burada ve burada daha fazla bilgi . OWIN kullanmıyorsanız, NWebSec sitesinde okuyabileceğiniz bir Web.config yöntemi olduğunu unutmayın .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHsts(options => options.MaxAge(days: 720).Preload());
   

4. NWebSec.Owin NuGet paketini kullanın ve sitede Genel Anahtar Sabitlemeyi (HPKP) etkinleştirmek için aşağıdaki kod satırını ekleyin. Burada ve burada daha fazla bilgi .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHpkp(options => options
       .Sha256Pins(
           "Base64 encoded SHA-256 hash of your first certificate e.g. cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs=",
           "Base64 encoded SHA-256 hash of your second backup certificate e.g. M8HztCzM3elUxkcjR2S5P4hhyBNf6lHkmjAHKhpGPWE=")
       .MaxAge(days: 30));
   

5. Kullanılan URL'lere https şemasını ekleyin. İçerik Güvenlik İlkesi (CSP) HTTP üstbilgisi ve Alt Kaynak Bütünlüğü (SRI) , bazı tarayıcılarda düzeni taktığınızda iyi oynatılmıyor. HTTPS hakkında açık olmak daha iyidir. Örneğin

   <script src="https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.4/bootstrap.min.js">
   </script>
   

6. Tüm bu ve çok daha fazla yerleşik bir proje oluşturmak için ASP.NET MVC demirbaş Visual Studio proje şablonunu kullanın. Kod GitHub üzerinde de görüntüleyebilirsiniz .

LazyOne'un cevabını arttırmak için, cevabın açıklamalı bir versiyonu.

<rewrite>
  <rules>
     <clear />
     <rule name="Redirect all requests to https" stopProcessing="true">
       <match url="(.*)" />
         <conditions logicalGrouping="MatchAll">
           <add input="{HTTPS}" pattern="off" ignoreCase="true" />
         </conditions>
         <action 
            type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" 
            redirectType="Permanent" appendQueryString="false" />
     </rule>
  </rules>
</rewrite>

Bu sunucuda önceden tanımlanmış olabilecek diğer tüm kuralları temizleyin. "Tüm istekleri https'ye yönlendir" olarak adlandırdığımız yeni bir kural oluşturun. Bu kuralı işledikten sonra, başka kuralları işlemeyin! Tüm gelen URL'lerle eşleştirin. Ardından diğer tüm koşulların doğru olup olmadığını kontrol edin: HTTPS KAPALI. Bu sadece bir koşul (ama bunun doğru olduğundan emin olun). Öyleyse, istemciye 301 Kalıcı yönlendirme gönderin http://www.foobar.com/whatever?else=the#url-contains. Sorgu dizesini sonuna eklemeyin, çünkü sorgu dizesini çoğaltır!

Özelliklerin, niteliklerin ve bazı değerlerin anlamı budur.

• clear , başka türlü devralabileceğimiz tüm sunucu kurallarını kaldırır.
• kural bir kuralı tanımlar.
  • isim kural için keyfi bir (gerçi benzersiz) adını.
  • stopProcess'i derhal IIS istek ardışık düzenine mi yoksa ek kuralları işlemek için mi yönlendireceğinizi işleme.
• Bu kuralın ne zaman çalıştırılacağı ile eşleşir .
  • url URL değerlendirmek için karşı bir desen
• koşullar bu kuralı çalıştırmak için zaman konusunda ek koşullar; Koşullar yalnızca ilk eşleşme varsa işlenir.
  • tüm koşulların true ( MatchAll) veya koşullardan herhangi birinin true ( ) olması gerekip gerekmediğini mantıksal gruplandırmaMatchAny ; vs OR benzer.
• add , karşılanması gereken bir koşul ekler.
  • giriş , bir durum değerlendirmesi olduğu girişi; girdi sunucu değişkenleri olabilir.
  • model giriş değerlendirmek için standart karşı.
  • Büyük harf kullanımı önemli olsun ya da olmasın.
• eylemmatch ve eğer conditionshepsi doğruysa ne yapmalı .
  • tür genellikle redirect(istemci tarafı) veya rewrite(sunucu tarafı) olabilir.
  • URL bu kuralın bir sonucu olarak ne üretmek için; bu durumda, https://iki sunucu değişkeni ile birleştirin .
  • redirectType hangi HTTP yeniden yönlendirme kullanımına; bu bir 301 Daimi.
  • appendQueryString sonuç dizesinin sonuna sorgu dizesinin eklenip eklenmeyeceği url; bu durumda, bunu false olarak ayarlıyoruz, çünkü {REQUEST_URI}zaten içeriyor.

Sunucu değişkenleri

• {HTTPS}ya OFFda ON.
• {HTTP_HOST}olduğu www.mysite.comve
• {REQUEST_URI} URI'nin geri kalanını içerir, ör. /home?key=value
  • tarayıcı #fragment(LazyOne'un yorumuna bakın) işler .

Ayrıca bkz: https://www.iis.net/learn/extensions/url-rewrite-module/url-rewrite-module-configuration-reference

Kabul edilen cevap benim için işe yaramadı. Bu konuda adımlar takip blogda .

Benim için eksik olan önemli bir nokta, IIS için URL Yeniden Yazma Aracı'nı indirip yüklemem gerektiğiydi. Burada buldum . Sonuç şuydu.

<rewrite>
        <rules>
            <remove name="Http to Https" />
            <rule name="Http to Https" enabled="true" patternSyntax="Wildcard" stopProcessing="true">
                <match url="*" />
                <conditions>
                    <add input="{HTTPS}" pattern="off" />
                </conditions>
                <serverVariables />
                <action type="Redirect" url="https://{HTTPS_HOST}{REQUEST_URI}" />
            </rule>
        </rules>
    </rewrite>

Net Core'da, https://docs.microsoft.com/en-us/aspnet/core/security/enforcing-ssl adresindeki talimatları izleyin.

Startup.cs dosyasında aşağıdakileri ekleyin:

// Requires using Microsoft.AspNetCore.Mvc;
public void ConfigureServices(IServiceCollection services)
{
    services.Configure<MvcOptions>(options =>
    {
        options.Filters.Add(new RequireHttpsAttribute());
    });`enter code here`

Http'yi Https'ye yeniden yönlendirmek için, startup.cs dosyasına aşağıdakileri ekleyin

// Requires using Microsoft.AspNetCore.Rewrite;
public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    loggerFactory.AddConsole(Configuration.GetSection("Logging"));
    loggerFactory.AddDebug();

    var options = new RewriteOptions()
       .AddRedirectToHttps();

    app.UseRewriter(options);

Mükemmel NWebsec kütüphanesi, upgrade-insecure-requestsiçindeki etiketi kullanarak isteklerinizi HTTP'den HTTPS'ye yükseltebilir Web.config:

<nwebsec>
  <httpHeaderSecurityModule>
    <securityHttpHeaders>
      <content-Security-Policy enabled="true">
        <upgrade-insecure-requests enabled="true"  />
      </content-Security-Policy>
    </securityHttpHeaders>
  </httpHeaderSecurityModule>
</nwebsec>

URL Yeniden Yazmayı ortamıma yüklememe izin verilmedi, bu yüzden başka bir yol buldum.

Bunu web.config dosyasına eklemek hata yeniden yazma hatası ekledi ve IIS 7.5 üzerinde çalıştı:

<system.webServer>
    <httpErrors errorMode="Custom" defaultResponseMode="File" defaultPath="C:\WebSites\yoursite\" >    
    <remove statusCode="403" subStatusCode="4" />
    <error statusCode="403" subStatusCode="4" responseMode="File" path="redirectToHttps.html" />
</httpErrors>

Ardından, buradaki önerileri takip ederek: https://www.sslshopper.com/iis7-redirect-http-to-https.html

Yönlendirme yapan redtect dosyası oluşturdum (redirectToHttps.html):

<html>
<head><title>Redirecting...</title></head>
<script language="JavaScript">
function redirectHttpToHttps()
{
    var httpURL= window.location.hostname + window.location.pathname + window.location.search;
    var httpsURL= "https://" + httpURL;
    window.location = httpsURL;
}
redirectHttpToHttps();
</script>
<body>
</body>
</html>

Umarım birileri bunu başka bir yerde bulamadığım için faydalı bulur.

Bir basit bir yolu HTTP istekleri için özel hata dosyasını göndermek için IIS anlatmaktır. Dosya daha sonra bir meta yönlendirme, bir JavaScript yönlendirmesi ve bağlantı içeren talimatlar vb. İçerebilir.

</configuration>
</system.webServer>
    <httpErrors>
        <clear/>
        <!--redirect if connected without SSL-->
        <error statusCode="403" subStatusCode="4" path="errors\403.4_requiressl.html" responseMode="File"/>
    </httpErrors>
</system.webServer>
</configuration>