Cara memaksa HTTPS menggunakan file web.config

Saya telah mencari di sekitar Google dan StackOverflow mencoba menemukan solusi untuk ini, tetapi mereka semua tampaknya berhubungan dengan ASP.NET dll.

Saya biasanya menjalankan Linux di server saya tetapi untuk klien yang satu ini saya menggunakan Windows dengan IIS 7.5 (dan Plesk 10). Ini menjadi alasan mengapa saya sedikit tidak terbiasa dengan file IIS dan web.config . Dalam .htaccessfile Anda dapat menggunakan kondisi penulisan ulang untuk mendeteksi apakah protokolnya adalah HTTPS dan mengarahkan ulang sesuai itu. Apakah ada cara sederhana untuk mencapai ini menggunakan file web.config, atau bahkan menggunakan modul ' URL Rewrite ' yang telah saya instal?

Saya tidak punya pengalaman dengan ASP.NET jadi jika ini terlibat dalam solusi maka harap sertakan langkah-langkah yang jelas tentang cara mengimplementasikan.

Alasan saya melakukan ini dengan web.config dan bukan PHP adalah karena saya ingin memaksakan HTTPS pada semua aset di dalam situs.

Anda memerlukan modul Penulisan Ulang URL, lebih disukai v2 (Saya belum menginstal v1, jadi tidak dapat menjamin bahwa itu akan berfungsi di sana, tetapi seharusnya).

Berikut adalah contoh web.config tersebut - ini akan memaksa HTTPS untuk SEMUA sumber daya (menggunakan 301 Permanent Redirect):

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <clear />
                <rule name="Redirect to https" stopProcessing="true">
                    <match url=".*" />
                    <conditions>
                        <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                    </conditions>
                    <action type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" redirectType="Permanent" appendQueryString="false" />
                </rule>
            </rules>
        </rewrite>
    </system.webServer>
</configuration>

PS Solusi khusus ini tidak ada hubungannya dengan ASP.NET/PHP atau teknologi lainnya karena dilakukan hanya menggunakan modul penulisan ulang URL - diproses di salah satu level awal / bawah - sebelum permintaan sampai ke titik di mana kode Anda dieksekusi.

Bagi yang menggunakan ASP.NET MVC. Anda dapat menggunakan RequireHttpsAttribute untuk memaksa semua tanggapan menjadi HTTPS:

GlobalFilters.Filters.Add(new RequireHttpsAttribute());

Hal-hal lain yang mungkin juga ingin Anda lakukan untuk membantu mengamankan situs Anda:

1. Paksa token Anti-Pemalsuan untuk menggunakan SSL / TLS:

   AntiForgeryConfig.RequireSsl = true;

2. Memerlukan Cookie untuk meminta HTTPS secara default dengan mengubah file Web.config:

   <system.web>
       <httpCookies httpOnlyCookies="true" requireSSL="true" />
   </system.web>
   

3. Gunakan paket NWebSec.Owin NuGet dan tambahkan baris kode berikut untuk mengaktifkan Keamanan Transportasi Ketat (HSTS) di seluruh situs. Jangan lupa untuk menambahkan arahan Preload di bawah ini dan kirimkan situs Anda ke situs Preload HSTS . Informasi lebih lanjut di sini dan di sini . Perhatikan bahwa jika Anda tidak menggunakan OWIN, ada metode Web.config yang dapat Anda baca di situs NWebSec .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHsts(options => options.MaxAge(days: 720).Preload());
   

4. Gunakan paket NWebSec.Owin NuGet dan tambahkan baris kode berikut untuk mengaktifkan Pinning Kunci Publik (HPKP) di seluruh situs. Informasi lebih lanjut di sini dan di sini .

   // app is your OWIN IAppBuilder app in Startup.cs
   app.UseHpkp(options => options
       .Sha256Pins(
           "Base64 encoded SHA-256 hash of your first certificate e.g. cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs=",
           "Base64 encoded SHA-256 hash of your second backup certificate e.g. M8HztCzM3elUxkcjR2S5P4hhyBNf6lHkmjAHKhpGPWE=")
       .MaxAge(days: 30));
   

5. Sertakan skema https dalam URL apa pun yang digunakan. Kebijakan Keamanan Konten (CSP) HTTP header dan Subresource Integrity (SRI) tidak bermain bagus ketika Anda meniru skema di beberapa browser. Lebih baik secara eksplisit tentang HTTPS. misalnya

   <script src="https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.4/bootstrap.min.js">
   </script>
   

6. Gunakan template proyek ASP.NET MVC Boilerplate Visual Studio untuk menghasilkan proyek dengan semua ini dan banyak lagi yang sudah ada di dalamnya. Anda juga dapat melihat kode di GitHub .

Untuk menambah jawaban LazyOne, berikut adalah versi jawabannya.

<rewrite>
  <rules>
     <clear />
     <rule name="Redirect all requests to https" stopProcessing="true">
       <match url="(.*)" />
         <conditions logicalGrouping="MatchAll">
           <add input="{HTTPS}" pattern="off" ignoreCase="true" />
         </conditions>
         <action 
            type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}" 
            redirectType="Permanent" appendQueryString="false" />
     </rule>
  </rules>
</rewrite>

Hapus semua aturan lain yang mungkin sudah ditetapkan di server ini. Buat aturan baru, yang akan kami beri nama "Redirect semua permintaan ke https". Setelah memproses aturan ini, jangan memproses aturan lagi! Cocokkan semua URL yang masuk. Kemudian periksa apakah semua kondisi lain ini benar: HTTPS dimatikan. Yah, itu hanya satu syarat (tapi pastikan itu benar). Jika ya, kirim kembali pengalihan 301 Permanen ke klien di http://www.foobar.com/whatever?else=the#url-contains. Jangan tambahkan string kueri di akhir itu, karena itu akan menduplikasi string kueri!

Inilah yang dimaksud dengan properti, atribut, dan beberapa nilai.

• hapus semua aturan server yang mungkin kita warisi.
• aturan mendefinisikan aturan.
  • beri nama nama arbitrer (meskipun unik) untuk aturan tersebut.
  • stopProcessing apakah akan meneruskan permintaan segera ke pipa permintaan IIS atau pertama-tama memproses aturan tambahan.
• cocokkan kapan harus menjalankan aturan ini.
  • url suatu pola untuk mengevaluasi URL
• kondisi kondisi tambahan tentang kapan menjalankan aturan ini; ketentuan diproses hanya jika ada kecocokan pertama.
  • logicalGrouping apakah semua kondisi harus benar ( MatchAll) atau salah satu syarat harus benar ( MatchAny); mirip dengan AND vs OR.
• add menambahkan kondisi yang harus dipenuhi.
  • masukan input yang sedang dievaluasi suatu kondisi; input dapat berupa variabel server.
  • pola standar yang digunakan untuk mengevaluasi input.
  • abaikanCase apakah kapitalisasi penting atau tidak.
• tindakan apa yang harus dilakukan jika matchdan yang conditionssemua benar.
  • tipe umumnya dapat redirect(sisi klien) atau rewrite(sisi server).
  • url apa yang harus dihasilkan sebagai hasil dari aturan ini; dalam hal ini, menyatukan https://dengan dua variabel server.
  • redirectType HTTP redirect yang akan digunakan; ini adalah 301 Permanen.
  • appendQueryString apakah akan menambahkan string kueri di akhir hasil urlatau tidak; dalam hal ini, kami menetapkannya ke false, karena {REQUEST_URI}sudah termasuk itu.

Variabel server adalah

• {HTTPS}yang bisa OFFatau ON.
• {HTTP_HOST}adalah www.mysite.com, dan
• {REQUEST_URI} termasuk sisa URI, mis /home?key=value
  • browser menangani #fragment(lihat komentar dari LazyOne).

Lihat juga: https://www.iis.net/learn/extensions/url-rewrite-module/url-rewrite-module-configuration-reference

Jawaban yang diterima tidak berhasil untuk saya. Saya mengikuti langkah-langkah di blog ini .

Poin kunci yang hilang bagi saya adalah bahwa saya perlu mengunduh dan menginstal Alat Penulisan Ulang URL untuk IIS. Saya menemukannya di sini . Hasilnya adalah sebagai berikut.

<rewrite>
        <rules>
            <remove name="Http to Https" />
            <rule name="Http to Https" enabled="true" patternSyntax="Wildcard" stopProcessing="true">
                <match url="*" />
                <conditions>
                    <add input="{HTTPS}" pattern="off" />
                </conditions>
                <serverVariables />
                <action type="Redirect" url="https://{HTTPS_HOST}{REQUEST_URI}" />
            </rule>
        </rules>
    </rewrite>

Di .Net Core, ikuti instruksi di https://docs.microsoft.com/en-us/aspnet/core/security/enforcing-ssl

Di startup.cs Anda tambahkan yang berikut:

// Requires using Microsoft.AspNetCore.Mvc;
public void ConfigureServices(IServiceCollection services)
{
    services.Configure<MvcOptions>(options =>
    {
        options.Filters.Add(new RequireHttpsAttribute());
    });`enter code here`

Untuk mengarahkan ulang Http ke Https, tambahkan berikut ini di startup.cs

// Requires using Microsoft.AspNetCore.Rewrite;
public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    loggerFactory.AddConsole(Configuration.GetSection("Logging"));
    loggerFactory.AddDebug();

    var options = new RewriteOptions()
       .AddRedirectToHttps();

    app.UseRewriter(options);

Perpustakaan NWebsec yang sangat baik dapat meningkatkan permintaan Anda dari HTTP ke HTTPS menggunakan upgrade-insecure-requeststag -nya di dalam Web.config:

<nwebsec>
  <httpHeaderSecurityModule>
    <securityHttpHeaders>
      <content-Security-Policy enabled="true">
        <upgrade-insecure-requests enabled="true"  />
      </content-Security-Policy>
    </securityHttpHeaders>
  </httpHeaderSecurityModule>
</nwebsec>

Saya tidak diizinkan menginstal URL Menulis Ulang di lingkungan saya, jadi, saya menemukan jalur lain.

Menambahkan ini ke web.config saya menambahkan penulisan ulang kesalahan dan bekerja pada IIS 7.5:

<system.webServer>
    <httpErrors errorMode="Custom" defaultResponseMode="File" defaultPath="C:\WebSites\yoursite\" >    
    <remove statusCode="403" subStatusCode="4" />
    <error statusCode="403" subStatusCode="4" responseMode="File" path="redirectToHttps.html" />
</httpErrors>

Kemudian, ikuti saran di sini: https://www.sslshopper.com/iis7-redirect-http-to-https.html

Saya membuat file html yang melakukan redirect (redirectToHttps.html):

<html>
<head><title>Redirecting...</title></head>
<script language="JavaScript">
function redirectHttpToHttps()
{
    var httpURL= window.location.hostname + window.location.pathname + window.location.search;
    var httpsURL= "https://" + httpURL;
    window.location = httpsURL;
}
redirectHttpToHttps();
</script>
<body>
</body>
</html>

Saya harap seseorang menemukan ini berguna karena saya tidak dapat menemukan semua bagian di satu tempat di tempat lain.

Cara sederhana adalah memberi tahu IIS untuk mengirim file kesalahan khusus Anda untuk permintaan HTTP. File kemudian dapat berisi redirect meta, redirect JavaScript dan instruksi dengan tautan, dll. Yang penting, Anda masih dapat memeriksa "Memerlukan SSL" untuk situs (atau folder) dan ini akan berfungsi.

</configuration>
</system.webServer>
    <httpErrors>
        <clear/>
        <!--redirect if connected without SSL-->
        <error statusCode="403" subStatusCode="4" path="errors\403.4_requiressl.html" responseMode="File"/>
    </httpErrors>
</system.webServer>
</configuration>