在 APS.NET Core 2 应用程序中使用（并强制执行）HTTPS

Question

我正在研究在 ASP.NET Core 2 应用程序上实现（和强制执行）HTTPS，我看到了Enforcing HTTPS in an ASP.NET Core app，但这让我感到困惑。它提到了两种方法：使用RequireHttpsAttribute 或使用 URL 重写，但在页面开头的警告中，他们提到不要使用 RequireHttpsAttribute，因为它正在执行重定向，但这不是 URL 重写也在做什么？那么，我们是否能够将它们中的任何一个用于 Web API，即使它们收到“敏感信息”（如文档页面中的警告中所述）。

另外，我听说过 HSTS，并进行了一些研究，但在我看来，在 ASP.NET Core 中没有它的标准实现。我偶然发现了一些 NuGet 包，但我无法从更“官方”的提供商那里找到一个。

你能帮我理解一下吗？

Answer 1

您的困惑可能在于本文的目标是关于非 WebAPI 应用程序。因此警告 - 不适用于 WebAPI。不要对 WebAPI 使用任何一种方法。

• 连接到 http://example.com 上的应用程序的用户（通过在浏览器中输入网址）应重定向到 https://example.com。这可以使用两种方法之一来完成。

• 应用程序连接到http://webapi.example.com（如网络应用程序）应该不重定向到https://webapi.example.com。端口 80 应关闭或返回状态 400（对于 nginx 和 IIS，将这些答案中的状态代码更改为 400）。

用户不会被技术安全细节所累。然而，开发人员应该充分意识到并且可以直接连接到 https 而无需任何重定向。

考虑到您关于“官方”支持 HSTS 的第二条评论，请查看 asp.net 核心文档中的 this sample。公平地说，this 在撰写本文时仅在几个月前提交（作为2.1 milestone 的一部分），还没有很多文档。