ASP.NET: meilleure pratique pour rediriger vers https

Question

Je travaille sur un projet qui a une page qui doit utiliser le certificat SSL. Tous les liens dans le site de cette page utilisent https au lieu de http, mais dans le cas où un utilisateur peut accéder directement à la page, je veux que la version http de la page se redirige vers elle-même mais utilise https.

Je peux faire un Response.Redirect dans l'événement page_load. Je peux écrire javascript qui mettra à jour la location.href qui provoquera la publication. Je suis sûr qu'il y a plus de façons de peler ce chat.

Ma question est, quelle est la meilleure pratique pour un site ASP.NET sur IIS 6 ou 7 pour rediriger une page http vers https? Existe-t-il une meilleure pratique ou toutes les alternatives sont-elles égales?

Answer 1

j'utiliser la réécriture pour faire cette URL. Pourquoi? car il est simple à implémenter, ne nécessite aucune modification de l'application et est facile à maintenir.

Sur IIS7 vous pouvez accomplir qu'utiliser URL rewrite module, par exemple:

<!-- http:// to https:// rule --> 
<rule name="ForceHttpsBilling" stopProcessing="true"> 
    <match url="(.*)billing/(.*)" ignoreCase="true" /> 
    <conditions> 
    <add input="{HTTPS}" pattern="off" ignoreCase="false" /> 
    </conditions> 
    <action type="Redirect" redirectType="Found" url="https://{HTTP_HOST}{REQUEST_URI}" /> 
</rule> 

Sur IIS6 vous devrez utiliser une bibliothèque 3ème partie. J'utilise IIRF (http://www.codeplex.com/IIRF) c'est gratuit, stable, et a une bonne quantité de fonctionnalités.

Answer 2

J'appellerais Response.Redirect dans page_load. Il est plus simple que de générer le javascript et enverra moins d'octets au client.

Code example

Answer 3

En fait, la meilleure pratique serait de le faire dans l'un des trois endroits, en supposant que les paramètres matériels ou IIS ne sont pas une option. Juste des options de code.

1. Dans un HTTPModule. HttpModules sont exécutés avant que toute demande est traitée, de sorte que vous pouvez faire l'URL vérifier et rediriger là. C'est ce que je ferais.
2. Dans Global.asax.
3. Dans une page de base personnalisée, dans la fonction init.

Toutes ces options seraient bonnes. Un et deux sont garantis d'être touchés par chaque demande traitée par ASP.NET. Le troisième exige que vous vous assuriez que toutes vos pages héritent de la page de base.

Je ne mettrais pas le code dans chaque page, c'est juste une mauvaise programmation. Faites-moi savoir si vous avez besoin de plus de précisions, mais c'est un bon début.

Answer 4

Généralement, il existe des parties spécifiques du site que vous souhaitez toujours être HTTPS ou HTTP.

J'utilise l'attribut d'action suivante pour convertir le trafic soit à l'un ou l'autre:

public class ForceConnectionSchemeAttribute : ActionFilterAttribute 
{ 
    private string scheme; 

    public ForceConnectionSchemeAttribute(string scheme) 
    { 
     this.scheme = scheme.ToLower(); 
    } 

    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     Uri url = filterContext.HttpContext.Request.Url; 
     if (url.Scheme != scheme) 
     { 
      string secureUrl = String.Format("{0}://{1}{2}", scheme, url.Host, url.PathAndQuery); 
      filterContext.Result = new RedirectResult(secureUrl); 
     } 
    } 
} 


// Suppose I always want users to use HTTPS to access their personal info: 
[ForceConnectionScheme("https")] 
public class UserController: Controller 
{ 
    // blah 
}