php - 确保 API 连接是通过 https

Question

我如何确保对我们 API 的所有请求都是通过 https 进行的？我们是使用 .htaccess 文件自动重定向到 ssl，还是应该拒绝不通过 h​​ttps 的连接并显示错误消息？如果是第二种，实现这一目标的最佳方法是什么？

Answer 1

您应该让您的 API 用户的生活尽可能轻松 - 但对于开发人员而言，“轻松”通常意味着明确。

在这些情况下，我强烈倾向于将此视为违反前提条件，并抛出错误。如果您的 API 是 RESTful，我偏爱其中一个 HTTP 错误 - 例如自定义错误 503 FORBIDDEN，其中包含说明您必须使用 SSL 连接的自定义文本。

错误连接到非加密服务端点的开发人员将获得即时、清晰、人类可读的反馈。

我会警告不要使用重定向 - 这作为副作用实现了它的目标，并且当开发人员使用网络浏览器连接时可能会很好地工作，并且在使用他们的网络服务客户端时会失败(并非所有客户端都能很好地处理重定向，在我的经验中)。

我也更愿意抛出一个错误，而不是简单地不打开 HTTP 端口/监听器 - 连接超时通常需要一段时间，这会导致您的客户端开发人员认为服务器已关闭，而不是立即意识到错误的根本原因。