ASP.NET MVC - Html.BeginForm et SSL

Question

Je rencontre un problème avec ce qui devrait être une forme simple d'ouverture de session dans ASP.NET MVC 2. Essentiellement ma forme ressemble un peu quelque chose comme ceci:

using (Html.BeginForm("LogOn", "Account", new { area = "Buyers" }, FormMethod.Post, new { ID = "buyersLogOnForm" })) 

J'ai un filtre RequiresHTTPS sur la méthode d'action LogOn mais quand il exécute je reçois le message suivant

la ressource demandée ne peut être accessible via SSL

A ce stade, la seule solution qui a fonctionné était de passer dans un htmlattribute d'action supplémentaire comme suit:

var actionURL = "https://" + Request.Url.Host + Request.Url.PathAndQuery; 
using (Html.BeginForm("LogOn", "Account", new { area = "Buyers" }, FormMethod.Post, new { ID = "buyersLogOnForm", @action = actionURL })) 

Bien que cela fonctionne, je me demande a) pourquoi je vois cette question en premier lieu et b) si est un moyen plus simple de poster sur https depuis une page http?

[Modifier]

je aurais dû déclaré que le menu déroulant d'ouverture de session sera disponible sur de nombreuses pages publiques. Je ne veux pas que toutes mes pages soient HTTPS. Par exemple, ma page d'espoir - que N'IMPORTE QUI peut voir - ne devrait pas être basée sur HTTPS. Essentiellement, je dois spécifier le protocole dans mon formulaire, mais je n'ai aucune idée de comment le faire, ou si c'est possible.

J'apprécierais n'importe quels conseils/suggestions. Merci à l'avance

JP

Answer 1

Vous pouvez utiliser

<form action =" <%= Url.Action(
"action", 
"controller", 
ViewContext.RouteData.Values, 
"https" 
) %>" method="post" > 

Answer 2

Utilisez l'attribut [RequireHttps] à la fois sur l'action qui rend la forme et celui que vous envoyez des messages.

Answer 3

Mise à jour: Passez en revue les commentaires ci-dessous au sujet des failles de sécurité de cette approche avant d'envisager l'utilisation de ce code. J'ai trouvé qu'un hybride d'exemples de code de JP et Malcolm fonctionnait. Je me sentais encore un peu hacky mais j'ai créé un assistant BeginForm personnalisé. L'assistant personnalisé est plus propre et ne nécessite pas de https lorsqu'il est exécuté localement.

public static MvcForm BeginFormHttps(this HtmlHelper htmlHelper, string actionName, string controllerName) 
    { 
     TagBuilder form = new TagBuilder("form"); 
     UrlHelper Url = new UrlHelper(htmlHelper.ViewContext.RequestContext); 

     //convert to https when deployed 
     string protocol = htmlHelper.ViewContext.HttpContext.Request.IsLocal == true? "http" : "https"; 

     string formAction = Url.Action(actionName,controllerName,htmlHelper.ViewContext.RouteData.Values,protocol); 
     form.MergeAttribute("action", formAction); 

     FormMethod method = FormMethod.Post; 
     form.MergeAttribute("method", HtmlHelper.GetFormMethodString(method), true); 

     htmlHelper.ViewContext.Writer.Write(form.ToString(TagRenderMode.StartTag)); 

     MvcForm mvcForm = new MvcForm(htmlHelper.ViewContext); 

     return mvcForm; 
    } 

Exemple d'utilisation:

@using (Html.BeginFormHttps("Login", "Account"))