使用路由或其他方法强制使用 http 或 https？

Question

我有一个标准网站

拥有所有公共页面的www.example.com

但用户登录后，所有页面都处于安全模式：https://www.example.com

我要强制相关页面只有http或https

从 http 的角度来看，我不希望 https://www.example.com/about/ 像 Google 那样工作惩罚重复内容的网站。

从登录的角度来看，我不想要

http://www.example.com/signin/

出于明显的安全原因而工作。

最好的方法是什么？

访问错误的版本会导致永久 301 重定向。

Answer 1

我将这个动作过滤器放在一起，以了解可以做什么

public class RequireNonSSLAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
       if (filterContext.ActionDescriptor.ControllerDescriptor.GetCustomAttributes(typeof(RequireHttpsAttribute), true).Length > 0) return;
       if (filterContext.ActionDescriptor.GetCustomAttributes(typeof(RequireHttpsAttribute), true).Length > 0) return;
       if (!filterContext.IsChildAction)  return;

        // else

        UriBuilder uriBuilder = new UriBuilder(Request.Url); 

        //change the scheme 
        uriBuilder.Scheme = "http"; 
        uriBuilder.Port = 80; 

        filterContext.Result = this.RedirectPermanent(uriBuilder.Uri.AbsoluteUri); 


     base.OnActionExecuting(filterContext);
    }   
}

这个想法只是在没有请求但使用 SSL 时重写 url。我暂时无法测试它。

Answer 2

你可以使用上面的[RequireHttps]属性，你需要只使用Https的Action方法。如果这以某种方式限制了您，您可以创建自定义属性。

Answer 3

我使用以下内容。 RevertToHttpAttribute 是您特别要求的，而 OptionalHttp 和 RemoteRequireHttpsAttribute 允许例外，这允许冲突的属性自行解决。

我想我还将整合来自Dave A's 答案的 IsChildAction 行，因为这也简化了事情。

/// <summary>
/// Represents an attribute that attempts a secured HTTPS request to be re-sent over HTTP.
/// </summary>
public class RevertToHttpAttribute : FilterAttribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationContext filterContext)
    {
        // abort if it's not a secure connection
        if (!filterContext.HttpContext.Request.IsSecureConnection) return;

        // abort if it's not a GET request - we don't want to be redirecting on a form post
        if (!String.Equals(filterContext.HttpContext.Request.HttpMethod, "GET", StringComparison.OrdinalIgnoreCase)) return;

        var attributes = new[] { typeof(RequireHttpsAttribute), typeof(OptionalHttpsAttribute) };

        foreach (var attribute in attributes)
        {
            // abort if attribute is applied to controller or action
            if (filterContext.ActionDescriptor.ControllerDescriptor.IsDefined(attribute, true)) return;
            if (filterContext.ActionDescriptor.IsDefined(attribute, true)) return;
        }

        // redirect to HTTP
        string url = "http://" + filterContext.HttpContext.Request.Url.Host + filterContext.HttpContext.Request.RawUrl;
        filterContext.Result = new RedirectResult(url);
    }
}

/// <summary>
/// Only requires HTTPS when not running locally
/// </summary>
public class RemoteRequireHttpsAttribute : RequireHttpsAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        if (filterContext == null)
            throw new ArgumentNullException("filterContext");
        if (filterContext.HttpContext != null && filterContext.HttpContext.Request.IsLocal)
            return;
        if (filterContext.ActionDescriptor.IsDefined(typeof(OptionalHttpsAttribute), true))
            return;

        base.OnAuthorization(filterContext);
    }
}

/// <summary>
/// Represents an attribute that prevents an HTTP/HTTPS request to be re-sent over it's cohort.
/// </summary>
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
public class OptionalHttpsAttribute : Attribute
{
}

Answer 4

建议两个非常简单的解决方案：

1. 无论用户是否登录，都使用 HTTPS。

或

1. 为公共站点创建一个 www.whatever.com 子域，为登录的用户站点创建一个secure.whatever.com。 Google 不会将子域等同起来，因此不会将您的内容视为重复内容。