Gemischte http/https-Site

Question

Bisher haben meine https-Bereitstellungen häufig eine naive Sperrung der gesamten Website mit https und eine http-to-https-Umleitung auf dem Webserver enthalten.

Ich plane jetzt eine einzige ASP.NET MVC-Site (in der Cloud), die sowohl HTTP- als auch HTTPS-Seiten enthalten wird. Daher wird die Site über zwei konzeptionelle (nicht physische) Zonen verfügen, die sowohl sichere als auch nicht sichere Anfragen enthalten.

Konfiguration-weise habe ich Eingabeports für beide 80 und 443 eingerichtet und die Site akzeptiert beide Anfragen.

Gibt es eine Möglichkeit, Protokoll für jeden Anruf, der zu einer Aktion in der sicheren Zone gehört, auf HTTPS umzustellen? Zum Beispiel die Art von Dingen, die Aktionsfilter tun können.

Vielen Dank.

edit:Bitte beachten Sie, dass die ganze Idee ist dies, weil die Portabilität Probleme mit absoluter URLs auf das Formular action-Attribut zu vermeiden und weil der Benutzer die https nicht sehen: // Sicherung visuelle Hinweise auf dem Browser .

P

Answer 1

Sie vielleicht einen Blick auf die MVC-Futures Montage von Microsoft available for download here.

nehmen möchten Dies hat eine FilterAttribute, RequireSslFilterAttribute, die Ihnen erlaubt, Action-Methoden in Ihrem Controller zu markieren, die SSL erfordern - zum Beispiel

[RequireSsl(Redirect=true)] 
public ActionResult LogOn() 
{ 
    return View(); 
} 

Die optionale Umleitung Parameter bewirkt, dass der Antrag auf die gleiche URL umgeleitet werden, sondern über https statt http, falls erforderlich.

ACHTUNG: Wie Daniel bereits erwähnt hat, ist es möglicherweise bereits zu spät, wenn Daten auf eine nicht sichere Version der Seite gepostet wurden - es ist bereits potentiell kompromittiert, so dass Sie immer noch trainieren müssen Achten Sie darauf, dass alle sensiblen Daten über https gesendet werden. (Ich habe gerade deinen Kommentar zu Daniel bemerkt, du verstehst das offensichtlich, ich werde die Warnung hier für jeden anderen hinterlassen, der darauf stolpert!)

EDIT: Wie Luke darauf hinweist, ist dieses Attribut in MVC2 jetzt Teil von Das Core-Framework und wird umbenannt in [RequireHttps]

Answer 2

Gibt es eine Möglichkeit, Protokoll https für jeden Anruf Flip kann, die auf eine Handlung geht, die in der sicheren Zone gehört?

Die kurze Antwort ist nein, sobald die Anfrage über http gekommen ist, wurde bereits potentiell kompromittiert. Sie können verlangen, dass bestimmte Anrufe über das HTTPS kommen (nicht sicher, wie das geht, da ich ASP.Net für eine Weile nicht gemacht habe) und einen Fehler senden, wenn sie nicht tun. Der Schlüssel besteht darin, zu entscheiden, wann die Anwendung den Sprung ausführen soll, dh während der Anmeldung, und HTTPS als Aktion für diese Formulare auswählen. Ist es das, was du unter "Aktionsfilter" verstanden hast?