asp.net - 在 IIS/ASP.NET 中配置 SSL

Question

我会尽量简短。我的服务器上已经设置了证书。我只是有一个关于在我的网站上配置 ssl 的正确方法的问题。

我需要在根 login.aspx 以及 admin 和 cart 目录中进行保护。因此，在 IIS 中，您可以右键单击站点中的文件或目录，然后转到 Properties -> File/Directory Security 选项卡 -> Secure Communications 部分并单击 Edit -> 检查 Require secure channel (SSL)。这会导致通过 https 连接请求文件或目录内容，而 asp.net 不会自动转换请求。

因此，我没有更改所有链接和重定向以使用绝对 URL 来指定 http 或 https，而是实现了一个 http module按照建议在 http 和 https 之间自动切换 here .但是，我仍然收到错误:

The page must be viewed over a secure channel

因为它最初不是通过 https 发送的，而是在模块中转换的。如果我删除 IIS 中的设置，它可以正常工作；页面模块自动将连接切换到 https。我的问题是，可以不在 IIS 中设置 SSL 要求，只让我的 http 模块处理 http/https 切换吗？我觉得这样做会失去一层安全感。有没有人对此有任何见解？

Answer 1

我认为不启用 Require secure channel 选项是可以接受的。我只在需要保护整个域时才启用该选项，例如 secure.domain.com。对于部分需要 HTTPS 而部分不需要的网站，我使用您描述的切换器方法。当用户请求登录页面时，他们将通过 HTTPS 重定向到同一页面。所有 cookie 都设置为仅通过 SSL 传送:

<system.web>
        <httpCookies httpOnlyCookies="true" requireSSL="true" lockItem="true" />
</system.web>

如果 cookie 不存在，则用户未登录且页面通过 HTTP 传送。