ColdFusion 9 和 IIS 服务器加密答案

【问题标题】：ColdFusion 9 and IIS server encryptionColdFusion 9 和 IIS 服务器加密
【发布时间】：2015-09-01 22:32:55
【问题描述】：

我们有一个 ColdFusion 开发人员声称，仅通过在他想要加密的应用程序的 Application.cfm 文件中添加几行代码，他就可以强制 IIS Web 服务器加密涉及该应用程序的所有通信。例如，假设这个开发人员的 ColdFusion 应用程序位于 www.ThisIsIt.com/xyz/。他在他的 Application.cfm 文件（见下文）中包含一个条件语句，以强制 Web 浏览器在其应用程序的 URL 前加上 https。

<CFIF not cgi.server_port_secure> 
  <CFLOCATION URL="https://#cgi.server_name##cgi.script_name#" ADDTOKEN="no"/> 
</CFIF>

同时在 Internet 信息服务 (IIS) 管理器中，xyz 目录未设置为需要 SSL。如果你访问https://www.ThisIsIt.com/xyz/，它实际上会以https开头，但是如果没有指示/配置IIS Web服务器加密，他的应用程序的内容以及服务器与客户端Web浏览器之间的通信如何加密？ xyz 目录，为什么 Web 浏览器显示加密通信？这仅仅是一种技巧还是加密 ColdFusion 应用程序的合法手段？

【问题讨论】：

标签： iis encryption coldfusion

【解决方案1】：

基于应用程序的规则通过检测未使用 SSL 并将用户重定向到安全的 HTTPS 域来工作。需要配置有效的 SSL 证书，否则会显示安全消息。

此方法仅强制 ColdFusion 脚本使用 HTTPS 访问。无需任何 HTTPS 重定向即可直接访问静态、非 CFML 文件，例如 CSS、JS、PDF（不关心 application.cfm 脚本的存在）。

使用 IIS 为所有 Web 请求“强制”使用 SSL 的最佳方法是使用 web.config 规则。

https://stackoverflow.com/a/29089228/693068

【讨论】：