apache - 使用 https 保护 webcal 订阅

Question

我发布了 webcal URL，允许我的 web 应用程序的用户订阅各种日历。据我了解，识别 webcal URL 的应用程序将默认为 http，但我想使用 https 保护文件传输。以下 apache 重写规则有效，但这是一个合适的解决方案吗？

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^.*$ https://%{SERVER_NAME}%{REQUEST_URI} [R,L]

是的，此域中的所有内容都应通过 https 提供服务。我知道我可以用 https 代替 webcal，但是我会失去 webcal URI 方案的好处(即简单订阅)。我在网上看到过一些关于 webcals 的提及，但信息很少，而且 Apple 的 iCal 不喜欢它。

我计划对这些日历使用基本身份验证。首先通过 http 发出请求然后重定向到 https 有问题吗？

Answer 1

是的，可能存在问题:初始请求将通过 HTTP 发送，包括 header 等。

如果初始请求不包含凭据，然后对 HTTP 基本身份验证质询的响应仅在第二个请求中发送，这不一定是问题，该请求将发送到 HTTPS URL。
但是，某些客户端可能会使用先发制人的身份验证，在这种情况下，凭据将在第一个纯 HTTP 请求中发送(有效地明文)。

正如我在 this answer 中所说的那样，从 HTTP 重定向到 HTTPS 并不总是提供人们想要的安全性。

(关于 webcal:// URL，我认为有些客户端支持 webcals:// 等效于 HTTPS 的方案。)