Лучший способ в asp.net заставить HTTPS для всего сайта?

Question

Около 6 месяцев назад я развернул сайт, где каждый запрос должен был быть через https. В то время я мог найти единственный способ убедиться, что каждый запрос к странице превышал https, это проверить это в событии загрузки страницы. Если бы запрос не был через http, я бы ответил response.redirect ("https://example.com")

Есть ли лучший способ - в идеале, некоторые настройки в web.config?

Answer 1

Пожалуйста, используйте HSTS

от http://www.hanselman.com/blog/HowToEnableHTTPStrictTransportSecurityHSTSInIIS7.aspx

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <rule name="HTTP to HTTPS redirect" stopProcessing="true">
                    <match url="(.*)" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
                        redirectType="Permanent" />
                </rule>
            </rules>
            <outboundRules>
                <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
                    <match serverVariable="RESPONSE_Strict_Transport_Security"
                        pattern=".*" />
                    <conditions>
                        <add input="{HTTPS}" pattern="on" ignoreCase="true" />
                    </conditions>
                    <action type="Rewrite" value="max-age=31536000" />
                </rule>
            </outboundRules>
        </rewrite>
    </system.webServer>
</configuration>

Оригинальный ответ (заменено вышеуказанным 4 декабря 2015 г.)

в основном

protected void Application_BeginRequest(Object sender, EventArgs e)
{
   if (HttpContext.Current.Request.IsSecureConnection.Equals(false) && HttpContext.Current.Request.IsLocal.Equals(false))
   {
    Response.Redirect("https://" + Request.ServerVariables["HTTP_HOST"]
+   HttpContext.Current.Request.RawUrl);
   }
}

это будет указано в global.asax.cs (или global.asax.vb)

Я не знаю, как указать это в web.config

Answer 2

Другое, что вы можете сделать, это использовать HSTS , возвращая заголовок "Strict-Transport-Security" в браузер. Браузер должен поддерживать это (и в настоящее время это в первую очередь Chrome и Firefox), но это означает, что после установки браузер не будет отправлять запросы на сайт по HTTP и вместо этого будет переводить их в запросы HTTPS перед их выдачей , Попробуйте это в сочетании с перенаправлением с HTTP:

protected void Application_BeginRequest(Object sender, EventArgs e)
{
  switch (Request.Url.Scheme)
  {
    case "https":
      Response.AddHeader("Strict-Transport-Security", "max-age=300");
      break;
    case "http":
      var path = "https://" + Request.Url.Host + Request.Url.PathAndQuery;
      Response.Status = "301 Moved Permanently";
      Response.AddHeader("Location", path);
      break;
  }
}

Браузеры, которые не знают HSTS, будут просто игнорировать заголовок, но все равно будут захвачены оператором switch и отправлены в HTTPS.

Answer 3

Модуль IIS7 позволит вам перенаправить.

    <rewrite>
        <rules>
            <rule name="Redirect HTTP to HTTPS" stopProcessing="true">
                <match url="(.*)"/>
                <conditions>
                    <add input="{HTTPS}" pattern="^OFF$"/>
                </conditions>
                <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="SeeOther"/>
            </rule>
        </rules>
    </rewrite>

Answer 4

Для тех, кто использует ASP.NET MVC. Вы можете использовать следующее для принудительной установки SSL / TLS через HTTPS на весь сайт двумя способами:

Трудный путь

1 - Добавьте атрибут RequireHttpsAttribute к глобальным фильтрам:

GlobalFilters.Filters.Add(new RequireHttpsAttribute());

2 - Принудительно использовать токены Anti-Forgery для использования SSL / TLS:

AntiForgeryConfig.RequireSsl = true;

3 - Требовать, чтобы Cookies требовали HTTPS по умолчанию, изменив файл Web.config:

<system.web>
    <httpCookies httpOnlyCookies="true" requireSSL="true" />
</system.web>

4 - используйте пакет NWebSec.Owin NuGet и добавьте следующую строку кода, чтобы включить Strict Transport Security для всего сайта. Не забудьте добавить директиву Preload ниже и отправить свой сайт на сайт HSTS Preload . Больше информации здесь и здесь . Обратите внимание, что если вы не используете OWIN, существует метод Web.config, о котором вы можете прочитать на сайте NWebSec .

// app is your OWIN IAppBuilder app in Startup.cs
app.UseHsts(options => options.MaxAge(days: 30).Preload());

5 - Используйте пакет NWebSec.Owin NuGet и добавьте следующую строку кода, чтобы включить закрепление с открытым ключом (HPKP) на сайте. Больше информации здесь и здесь .

// app is your OWIN IAppBuilder app in Startup.cs
app.UseHpkp(options => options
    .Sha256Pins(
        "Base64 encoded SHA-256 hash of your first certificate e.g. cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs=",
        "Base64 encoded SHA-256 hash of your second backup certificate e.g. M8HztCzM3elUxkcjR2S5P4hhyBNf6lHkmjAHKhpGPWE=")
    .MaxAge(days: 30));

6 - Включите схему https в любой используемый URL. Политика безопасности контента (CSP) HTTP-заголовок и Субресурсная целостность (SRI) не воспроизводятся хорошо, когда вы имитируете схему в некоторых браузерах. Лучше быть явно о HTTPS. например,

<script src="https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.4/bootstrap.min.js"></script>

Легкий путь

Используйте ASP.NET MVC Boilerplate Шаблон проекта Visual Studio для создания проекта со всем этим и многим другим встроенным. Вы также можете просмотреть код на GitHub .

Answer 5

Если по какой-либо причине вы не можете настроить это в IIS, я бы сделал модуль HTTP, который выполнит перенаправление для вас:

using System;
using System.Web;

namespace HttpsOnly
{
    /// <summary>
    /// Redirects the Request to HTTPS if it comes in on an insecure channel.
    /// </summary>
    public class HttpsOnlyModule : IHttpModule
    {
        public void Init(HttpApplication app)
        {
            // Note we cannot trust IsSecureConnection when 
            // in a webfarm, because usually only the load balancer 
            // will come in on a secure port the request will be then 
            // internally redirected to local machine on a specified port.

            // Move this to a config file, if your behind a farm, 
            // set this to the local port used internally.
            int specialPort = 443;

            if (!app.Context.Request.IsSecureConnection 
               || app.Context.Request.Url.Port != specialPort)
            {
               app.Context.Response.Redirect("https://" 
                  + app.Context.Request.ServerVariables["HTTP_HOST"] 
                  + app.Context.Request.RawUrl);    
            }
        }

        public void Dispose()
        {
            // Needed for IHttpModule
        }
    }
}

Затем просто скомпилируйте его в DLL, добавьте в качестве ссылки на ваш проект и поместите в web.config:

 <httpModules>
      <add name="HttpsOnlyModule" type="HttpsOnly.HttpsOnlyModule, HttpsOnly" />
 </httpModules>

Answer 6

Что вам нужно сделать, это:

1) Добавьте ключ внутри web.config в зависимости от производственного или промежуточного сервера, как показано ниже

<add key="HttpsServer" value="stage"/>
             or
<add key="HttpsServer" value="prod"/>

2) В вашем файле Global.asax добавьте ниже метод.

void Application_BeginRequest(Object sender, EventArgs e)
{
    //if (ConfigurationManager.AppSettings["HttpsServer"].ToString() == "prod")
    if (ConfigurationManager.AppSettings["HttpsServer"].ToString() == "stage")
    {
        if (!HttpContext.Current.Request.IsSecureConnection)
        {
            if (!Request.Url.GetLeftPart(UriPartial.Authority).Contains("www"))
            {
                HttpContext.Current.Response.Redirect(
                    Request.Url.GetLeftPart(UriPartial.Authority).Replace("http://", "https://www."), true);
            }
            else
            {
                HttpContext.Current.Response.Redirect(
                    Request.Url.GetLeftPart(UriPartial.Authority).Replace("http://", "https://"), true);
            }
        }
    }
}

Answer 7

Если поддержка SSL не настраивается на вашем сайте (т. Е. Должна быть возможность включать / выключать https) - вы можете использовать атрибут [RequireHttps] для любого действия контроллера / контроллера, которое вы хотите защитить.

Answer 8

Это более полный ответ, основанный на @Troy Hunt's. Добавьте эту функцию к вашему WebApplication классу в Global.asax.cs:

    protected void Application_BeginRequest(Object sender, EventArgs e)
    {
        // Allow https pages in debugging
        if (Request.IsLocal)
        {
            if (Request.Url.Scheme == "http")
            {
                int localSslPort = 44362; // Your local IIS port for HTTPS

                var path = "https://" + Request.Url.Host + ":" + localSslPort + Request.Url.PathAndQuery;

                Response.Status = "301 Moved Permanently";
                Response.AddHeader("Location", path);
            }
        }
        else
        {
            switch (Request.Url.Scheme)
            {
                case "https":
                    Response.AddHeader("Strict-Transport-Security", "max-age=31536000");
                    break;
                case "http":
                    var path = "https://" + Request.Url.Host + Request.Url.PathAndQuery;
                    Response.Status = "301 Moved Permanently";
                    Response.AddHeader("Location", path);
                    break;
            }
        }
    }

(чтобы включить SSL в локальной сборке, включите его в панели свойств проекта)

Answer 9

Я собираюсь бросить свои два цента. ЕСЛИ у вас есть доступ к стороне сервера IIS, то вы можете принудительно установить HTTPS с помощью привязок протокола. Например, у вас есть веб-сайт под названием Blah . В IIS вы можете настроить два сайта: Blah и Blah (Redirect) . Для Blah настройте только привязку HTTPS (и FTP, если вам нужно, также убедитесь, что она принудительно установлена ​​через безопасное соединение). Для Blah (Redirect) настраивается только привязка HTTP. Наконец, в разделе HTTP Redirect для Blah (Redirect) убедитесь, что для переадресации 301 установлено значение https://blah.com с точным назначением. Убедитесь, что каждый сайт в IIS указывает на свою собственную корневую папку, иначе Web.config будет испорчен. Также убедитесь, что на вашем сайте HTTPSed настроено HSTS, чтобы последующие запросы браузера всегда были принудительно настроены на HTTPS и не происходило перенаправлений.

Answer 10

Для @Joe выше: «Это дает мне цикл перенаправления. До того, как я добавил код, он работал нормально. Есть предложения? - Джо 8 ноября '11 в 4:13"

Это происходило и со мной, и я думаю, что происходило то, что балансировщик нагрузки прерывал запрос SSL перед веб-сервером. Итак, мой веб-сайт всегда думал, что запрос был «http», даже если оригинальный браузер запрашивал, чтобы он был «https».

Я признаю, что это немного глупо, но для меня сработало внедрение свойства JustRedirected, которое я мог использовать, чтобы выяснить, что человек уже был перенаправлен однажды. Итак, я проверяю конкретные условия, которые требуют перенаправления, и, если они выполняются, я устанавливаю это свойство (значение, сохраненное в сеансе) до перенаправления. Даже если условия http / https для перенаправления выполняются во второй раз, я обхожу логику перенаправления и сбрасываю значение сеанса JustRedirected на false. Вам понадобится ваша собственная логика условного тестирования, но вот простая реализация свойства:

    public bool JustRedirected
    {
        get
        {
            if (Session[RosadaConst.JUSTREDIRECTED] == null)
                return false;

            return (bool)Session[RosadaConst.JUSTREDIRECTED];
        }
        set
        {
            Session[RosadaConst.JUSTREDIRECTED] = value;
        }
    }