security - 如何强制与 Rails 3 建立 SSL 连接，但仅当用户已登录时？

Question

我正在创建一个允许公司更新其某些网页的 Rails 3 站点，并且我使用 AuthLogic 来处理用户的登录和退出。

对于我们网站的大部分流量，我们不需要使用任何加密，因为我们不会传输敏感信息。然而，当用户登录时，我认为使用加密来保证他们的密码安全是很重要的。此外，据我所知，在用户登录后对所有流量进行加密很重要(以避免有人窃取他们的 cookie 并以他们的身份进行身份验证)。

stackoverflow 问题“Rails 3 SSL Deprecation”提供了一些关于在 Rails 3 中使用 SSL 的有用建议，但我正在尝试弄清楚如何一次性加密所有 流量用户已登录(或正在登录等)，但当前没有用户登录时没有流量。我看不出如何执行这种有条件的操作路由。

Answer 1

您可以在前置过滤器中检查协议(protocol):

before_filter do
  unless request.protocol == 'https://'
    redirect_to 'my_page_with_https'
  end
end

但这可能有点矫枉过正。我不知道在每个请求上调用这种过滤器的成本。