ASP.NET MVC: Comment désactiver automatiquement [RequireHttps] sur localhost?

Question

Je veux que ma page de connexion SSL pour être seulement:

[RequireHttps] 
    public ActionResult Login() 
    { 
     if (Helper.LoggedIn) 
     { 
      Response.Redirect("/account/stats"); 
     } 

     return View(); 
    } 

Mais évidemment, il ne fonctionne pas sur localhost quand je développe et déboguer mon application. Je ne veux pas utiliser IIS 7 avec des certificats SSL, comment puis-je désactiver automatiquement l'attribut RequireHttps?

Mise à jour

Sur la base des informations fournies par les utilisateurs StackOverflow et le code source ASP.NET MVC 2 J'ai créé la classe suivante qui résout le problème.

public class RequireSSLAttribute : FilterAttribute, IAuthorizationFilter 
{ 
    public virtual void OnAuthorization(AuthorizationContext filterContext) 
    { 
     if (filterContext == null) 
     { 
      throw new ArgumentNullException("filterContext"); 
     } 

     if (!filterContext.HttpContext.Request.IsSecureConnection) 
     { 
      HandleNonHttpsRequest(filterContext); 
     } 
    } 

    protected virtual void HandleNonHttpsRequest(AuthorizationContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.Url.Host.Contains("localhost")) return; 

     if (!String.Equals(filterContext.HttpContext.Request.HttpMethod, "GET", StringComparison.OrdinalIgnoreCase)) 
     { 
      throw new InvalidOperationException("The requested resource can only be accessed via SSL"); 
     } 

     string url = "https://" + filterContext.HttpContext.Request.Url.Host + filterContext.HttpContext.Request.RawUrl; 
     filterContext.Result = new RedirectResult(url); 
    } 
} 

Et il est utilisé comme ceci:

[RequireSSL] 
public ActionResult Login() 
{ 
    if (Helper.LoggedIn) 
    { 
     Response.Redirect("/account/stats"); 
    } 

    return View(); 
} 

Answer 1

La meilleure chose serait d'obtenir un nouvel attribut de RequireHttps et passer outre HandleNonHttpsRequest

protected override void HandleNonHttpsRequest(AuthorizationContext filterContext) 
     { 
      if (!filterContext.HttpContext.Request.Url.Host.Contains("localhost")) 
      { 
       base.HandleNonHttpsRequest(filterContext); 
      } 
     } 

HandleNonHttpsRequest est la méthode jette l'exception, ici tout ce que nous faisons ne l'appelle pas si l'hôte est localhost (et comme Jeff dit dans son commentaire que vous pourriez étendre cela aux environnements de test ou en fait toutes les autres exceptions que vous voulez).

Answer 2

#if (!DEBUG) 
[RequireHttps] 
#endif 
public ActionResult Login() 
{ 
    if (Helper.LoggedIn) 
    { 
     Response.Redirect("/account/stats"); 
    } 

    return View(); 
} 

Answer 3

Vous pouvez résumer cette exigence dans un attribut dérivé:

class RequireHttpsNonDebugAttribute : RequireHttpsAttribute { 
    public override void HandleNonHttpsRequest(AuthorizationContext ctx) { 
     #if (!DEBUG) 
     base.HandleNonHttpsRequest(ctx); 
     #endif 
    } 
} 

Answer 4

public static void RegisterGlobalFilters(GlobalFilterCollection filters) { 

     if (!HttpContext.Current.IsDebuggingEnabled) { 
      filters.Add(new RequireHttpsAttribute()); 
     } 
    } 

Answer 5

MVC 6 (ASP.NET 1.0 de base):

La bonne solution serait d'utiliser env.IsProduction() ou env.IsDevelopment().

Exemple:

Startup.cs - AddMvc avec un filtre personnalisé:

public void ConfigureServices(IServiceCollection services) 
{ 
    // TODO: Register other services 

    services.AddMvc(options => 
    { 
     options.Filters.Add(typeof(RequireHttpsInProductionAttribute)); 
    }); 
} 

Filtre personnalisé Hériter de RequireHttpsAttribute

public class RequireHttpsInProductionAttribute : RequireHttpsAttribute 
{ 
    private bool IsProduction { get; } 

    public RequireHttpsInProductionAttribute(IHostingEnvironment environment) 
    { 
     if (environment == null) 
      throw new ArgumentNullException(nameof(environment)); 
     this.IsProduction = environment.IsProduction(); 
    } 
    public override void OnAuthorization(AuthorizationContext filterContext) 
    { 
     if (this.IsProduction) 
      base.OnAuthorization(filterContext); 
    } 
    protected override void HandleNonHttpsRequest(AuthorizationContext filterContext) 
    { 
     if(this.IsProduction) 
      base.HandleNonHttpsRequest(filterContext); 
    } 
} 

Les décisions de conception explique:

1. Utilisez l'environnement IsProduction() ou IsDevelopment() par ex. "#if DEBUG". Parfois, nous publions/publions en mode DEBUG sur notre serveur de test et ne voulons pas désactiver cette exigence de sécurité. Cela doit être désactivé uniquement dans localhost/development (puisque nous sommes trop paresseux pour installer SSL localhost dans IIS Express ou tout ce que nous utilisons localement).
2. Utilisez le filtre dans Startup.cs pour l'installation globale (puisque nous voulons que cela s'applique partout). Le démarrage doit être responsable de l'enregistrement et de la configuration de toutes les règles globales. Si votre entreprise emploie un nouveau développeur, elle s'attend à trouver une configuration globale dans Startup.cs.
3. Utilisez RequireHttpsAttribute logique car il est prouvé (par Microsoft). La seule chose que nous voulons changer est quand la logique est appliquée (production) et quand elle n'est pas (développement/localhost). N'utilisez jamais de chaînes "magiques" comme "http: //" et "https: //" quand elles peuvent être évitées en réutilisant un composant Microsoft créé pour fournir la même logique.

Ci-dessus, je considérerais la solution «appropriée».

Note:

En tant autre, nous pourrions faire une "classe BaseController: Controller" et que tous nos contrôleurs héritent de "BaseController" (au lieu de contrôleur). Il suffit ensuite de définir l'emplacement global de l'attribut 1 (et de ne pas enregistrer le filtre dans Startup.cs).

Certaines personnes préfèrent le style d'attribut. Veuillez noter que cela éliminera les avantages de la décision n ° 2.

Exemple d'utilisation:

[RequireHttpsInProductionAttribute] 
public class BaseController : Controller 
{ 
    // Maybe you have other shared controller logic.. 
} 

public class HomeController : BaseController 
{ 
    // Add endpoints (GET/POST) for Home controller 
}