Лучший способ в asp.net принудительно использовать https для всего сайта?

Пожалуйста, используйте HSTS (HTTP Strict Transport Security)

от http://www.hanselman.com/blog/HowToEnableHTTPStrictTransportSecurityHSTSInIIS7.aspx

<?xml version = "1.0" encoding = "UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <rule name = "HTTP to HTTPS redirect" stopProcessing = "true">
                    <match url = "(.*)" />
                    <conditions>
                        <add input = "{HTTPS}" pattern = "off" ignoreCase = "true" />
                    </conditions>
                    <action type = "Redirect" url = "https://{HTTP_HOST}/{R:1}"
                        redirectType = "Permanent" />
                </rule>
            </rules>
            <outboundRules>
                <rule name = "Add Strict-Transport-Security when HTTPS" enabled = "true">
                    <match serverVariable = "RESPONSE_Strict_Transport_Security"
                        pattern = ".*" />
                    <conditions>
                        <add input = "{HTTPS}" pattern = "on" ignoreCase = "true" />
                    </conditions>
                    <action type = "Rewrite" value = "max-age=31536000" />
                </rule>
            </outboundRules>
        </rewrite>
    </system.webServer>
</configuration>

Оригинальный ответ (заменено на вышеуказанное 4 декабря 2015 г.)

по сути

protected void Application_BeginRequest(Object sender, EventArgs e)
{
   if (HttpContext.Current.Request.IsSecureConnection.Equals(false) && HttpContext.Current.Request.IsLocal.Equals(false))
   {
    Response.Redirect("https://" + Request.ServerVariables["HTTP_HOST"]
+   HttpContext.Current.Request.RawUrl);
   }
}

который войдет в global.asax.cs (или global.asax.vb)

я не знаю, как указать его в web.config

Если вы не можете настроить это в IIS по какой-либо причине, я бы сделал HTTP-модуль, который выполняет перенаправление за вас:

using System;
using System.Web;

namespace HttpsOnly
{
    /// <summary>
    /// Redirects the Request to HTTPS if it comes in on an insecure channel.
    /// </summary>
    public class HttpsOnlyModule : IHttpModule
    {
        public void Init(HttpApplication app)
        {
            // Note we cannot trust IsSecureConnection when 
            // in a webfarm, because usually only the load balancer 
            // will come in on a secure port the request will be then 
            // internally redirected to local machine on a specified port.

            // Move this to a config file, if your behind a farm, 
            // set this to the local port used internally.
            int specialPort = 443;

            if (!app.Context.Request.IsSecureConnection 
               || app.Context.Request.Url.Port != specialPort)
            {
               app.Context.Response.Redirect("https://" 
                  + app.Context.Request.ServerVariables["HTTP_HOST"] 
                  + app.Context.Request.RawUrl);    
            }
        }

        public void Dispose()
        {
            // Needed for IHttpModule
        }
    }
}

Затем просто скомпилируйте его в DLL, добавьте в качестве ссылки на свой проект и поместите в web.config:

 <httpModules>
      <add name = "HttpsOnlyModule" type = "HttpsOnly.HttpsOnlyModule, HttpsOnly" />
 </httpModules>

Модуль IIS7 позволит вам перенаправить.

    <rewrite>
        <rules>
            <rule name = "Redirect HTTP to HTTPS" stopProcessing = "true">
                <match url = "(.*)"/>
                <conditions>
                    <add input = "{HTTPS}" pattern = "^OFF$"/>
                </conditions>
                <action type = "Redirect" url = "https://{HTTP_HOST}/{R:1}" redirectType = "SeeOther"/>
            </rule>
        </rules>
    </rewrite>

Это также зависит от марки вашего балансировщика, для веб-мультиплексора вам нужно будет искать http-заголовок X-WebMux-SSL-termination: true, чтобы определить, что входящий трафик был ssl. подробности здесь: http://www.cainetworks.com/support/redirect2ssl.html

Еще вы можете использовать HSTS, вернув браузеру заголовок «Strict-Transport-Security». Браузер должен поддерживать это (и в настоящее время это делают в первую очередь Chrome и Firefox), но это означает, что после установки браузер не будет делать запросы к сайту через HTTP и вместо этого будет переводить их в запросы HTTPS перед их отправкой . Попробуйте это в сочетании с перенаправлением с HTTP:

protected void Application_BeginRequest(Object sender, EventArgs e)
{
  switch (Request.Url.Scheme)
  {
    case "https":
      Response.AddHeader("Strict-Transport-Security", "max-age=300");
      break;
    case "http":
      var path = "https://" + Request.Url.Host + Request.Url.PathAndQuery;
      Response.Status = "301 Moved Permanently";
      Response.AddHeader("Location", path);
      break;
  }
}

Браузеры, не поддерживающие HSTS, просто проигнорируют заголовок, но все равно будут перехвачены оператором switch и отправлены на HTTPS.

Для @Joe выше: «Это дает мне цикл перенаправления. До того, как я добавил код, он работал нормально. Есть предложения? - Джо, 8 ноября 2011 г., 16:13»

Это происходило и со мной, и, как я полагаю, происходило то, что балансировщик нагрузки завершал запрос SSL перед веб-сервером. Итак, мой веб-сайт всегда думал, что запрос был «http», даже если исходный браузер запрашивал «https».

Я признаю, что это немного взломано, но что сработало для меня, так это реализация свойства JustRedirected, которое я мог бы использовать, чтобы выяснить, что человек уже был перенаправлен однажды. Итак, я тестирую определенные условия, которые оправдывают перенаправление, и, если они выполняются, я устанавливаю это свойство (значение, хранящееся в сеансе) до перенаправления. Даже если условия http / https для перенаправления выполняются во второй раз, я обхожу логику перенаправления и сбрасываю значение сеанса JustRedirected на false. Вам понадобится собственная логика условного тестирования, но вот простая реализация свойства:

    public bool JustRedirected
    {
        get
        {
            if (Session[RosadaConst.JUSTREDIRECTED] == null)
                return false;

            return (bool)Session[RosadaConst.JUSTREDIRECTED];
        }
        set
        {
            Session[RosadaConst.JUSTREDIRECTED] = value;
        }
    }

Если поддержка SSL не настраивается на вашем сайте (т. Е. Должна иметь возможность включать / отключать https), вы можете использовать атрибут [RequireHttps] для любого действия контроллера / контроллера, которое вы хотите защитить.

Что вам нужно сделать:

1) Добавьте ключ внутри web.config, в зависимости от производственного или сценического сервера, как показано ниже.

<add key = "HttpsServer" value = "stage"/>
             or
<add key = "HttpsServer" value = "prod"/>

2) Внутри вашего файла Global.asax добавьте метод ниже.

void Application_BeginRequest(Object sender, EventArgs e)
{
    //if (ConfigurationManager.AppSettings["HttpsServer"].ToString() == "prod")
    if (ConfigurationManager.AppSettings["HttpsServer"].ToString() == "stage")
    {
        if (!HttpContext.Current.Request.IsSecureConnection)
        {
            if (!Request.Url.GetLeftPart(UriPartial.Authority).Contains("www"))
            {
                HttpContext.Current.Response.Redirect(
                    Request.Url.GetLeftPart(UriPartial.Authority).Replace("http://", "https://www."), true);
            }
            else
            {
                HttpContext.Current.Response.Redirect(
                    Request.Url.GetLeftPart(UriPartial.Authority).Replace("http://", "https://"), true);
            }
        }
    }
}

Для тех, кто использует ASP.NET MVC. Вы можете использовать следующее, чтобы принудительно использовать SSL / TLS через HTTPS для всего сайта двумя способами:

Трудный путь

1 - Добавьте RequireHttpsAttribute к глобальным фильтрам:

GlobalFilters.Filters.Add(new RequireHttpsAttribute());

2 - Заставить токены Anti-Forgery использовать SSL / TLS:

AntiForgeryConfig.RequireSsl = true;

3 - Требовать, чтобы файлы cookie требовали HTTPS по умолчанию, изменив файл Web.config:

<system.web>
    <httpCookies httpOnlyCookies = "true" requireSSL = "true" />
</system.web>

4 - Используйте пакет NWebSec.Owin NuGet и добавьте следующую строку кода, чтобы включить строгую транспортную безопасность на сайте. Не забудьте добавить директиву Preload ниже и отправить свой сайт в Сайт предварительной загрузки HSTS. Дополнительная информация здесь и здесь. Обратите внимание: если вы не используете OWIN, существует метод Web.config, о котором вы можете прочитать на сайте NWebSec.

// app is your OWIN IAppBuilder app in Startup.cs
app.UseHsts(options => options.MaxAge(days: 30).Preload());

5 - Используйте пакет NWebSec.Owin NuGet и добавьте следующую строку кода, чтобы включить закрепление открытого ключа (HPKP) на сайте. Дополнительная информация здесь и здесь.

// app is your OWIN IAppBuilder app in Startup.cs
app.UseHpkp(options => options
    .Sha256Pins(
        "Base64 encoded SHA-256 hash of your first certificate e.g. cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs = ",
        "Base64 encoded SHA-256 hash of your second backup certificate e.g. M8HztCzM3elUxkcjR2S5P4hhyBNf6lHkmjAHKhpGPWE = ")
    .MaxAge(days: 30));

6 - Включите схему https в любой используемый URL. Заголовок HTTP Политика безопасности контента (CSP) и Целостность подресурсов (SRI) не работают хорошо, когда вы имитируете схему в некоторых браузерах. О HTTPS лучше прямо сказать. например

<script src = "https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.4/bootstrap.min.js"></script>

Легкий путь

Используйте шаблон проекта Шаблон ASP.NET MVC Visual Studio, чтобы создать проект со всем этим и многим другим встроенным. Вы также можете просмотреть код на GitHub.

Я собираюсь бросить свои два цента. ЕСЛИ у вас есть доступ к стороне сервера IIS, тогда вы можете принудительно использовать HTTPS, используя привязки протокола. Например, у вас есть веб-сайт Бла. В IIS вы должны настроить два сайта: Бла и Бла (перенаправление). Для Бла настройте только привязку HTTPS (и FTP, если вам нужно, убедитесь, что это принудительно выполнено через безопасное соединение). Для Бла (перенаправление) настройте только привязку HTTP. Наконец, в разделе Перенаправление HTTP для Бла (перенаправление) не забудьте установить 301 перенаправление на https://blah.com с включенным точным местом назначения. Убедитесь, что каждый сайт в IIS указывает на свою корневую папку собственный, иначе Web.config все испортится. Также убедитесь, что на вашем HTTPS-сайте настроен HSTS, чтобы последующие запросы браузера всегда были принудительно отправлены на HTTPS и никаких перенаправлений не происходило.

-> Просто добавьте [RequireHttps] поверх открытого класса HomeController: Controller.

-> И добавить GlobalFilters.Filters.Add (новый RequireHttpsAttribute ()); в методе protected void Application_Start () в файле Global.asax.cs.

Это заставляет все ваше приложение использовать HTTPS.

Это более полный ответ, основанный на @Troy Hunt. Добавьте эту функцию в свой класс WebApplication в Global.asax.cs:

    protected void Application_BeginRequest(Object sender, EventArgs e)
    {
        // Allow https pages in debugging
        if (Request.IsLocal)
        {
            if (Request.Url.Scheme == "http")
            {
                int localSslPort = 44362; // Your local IIS port for HTTPS

                var path = "https://" + Request.Url.Host + ":" + localSslPort + Request.Url.PathAndQuery;

                Response.Status = "301 Moved Permanently";
                Response.AddHeader("Location", path);
            }
        }
        else
        {
            switch (Request.Url.Scheme)
            {
                case "https":
                    Response.AddHeader("Strict-Transport-Security", "max-age=31536000");
                    break;
                case "http":
                    var path = "https://" + Request.Url.Host + Request.Url.PathAndQuery;
                    Response.Status = "301 Moved Permanently";
                    Response.AddHeader("Location", path);
                    break;
            }
        }
    }

(Чтобы включить SSL в вашей локальной сборке, включите его в панели свойств проекта)

Если вы используете ASP.NET Core, вы можете попробовать пакет nuget SaidOut.AspNetCore.HttpsWithStrictTransportSecurity.

Тогда вам нужно только добавить

app.UseHttpsWithHsts(HttpsMode.AllowedRedirectForGet, configureRoutes: routeAction);

Это также добавит заголовок HTTP StrictTransportSecurity ко всем запросам, сделанным с использованием схемы https.

Пример кода и документация https://github.com/saidout/saidout-aspnetcore-httpswithstricttransportsecurity#example-code

Я потратил какое-то время на поиски лучших практик, которые имели бы смысл, и нашел следующее, которое сработало для меня. Надеюсь, это когда-нибудь тебя спасет.

Использование Файл конфигурации (например, сайт asp.net) https://blogs.msdn.microsoft.com/kaushal/2013/05/22/http-to-https-redirects-on-iis-7-x-and-higher/

или на вашем собственном сервере https://www.sslshopper.com/iis7-redirect-http-to-https.html

[КРАТКИЙ ОТВЕТ] Просто Код ниже находится внутри

<system.webServer> 
 <rewrite>
     <rules>
       <rule name = "HTTP/S to HTTPS Redirect" enabled = "true" 
           stopProcessing = "true">
       <match url = "(.*)" />
        <conditions logicalGrouping = "MatchAny">
        <add input = "{SERVER_PORT_SECURE}" pattern = "^0$" />
       </conditions>
       <action type = "Redirect" url = "https://{HTTP_HOST}{REQUEST_URI}" 
        redirectType = "Permanent" />
        </rule>
       </rules>
 </rewrite>

В IIS10 (Windows 10 и Server 2016), начиная с версии 1709, есть новый, более простой вариант включения HSTS для веб-сайта.

Microsoft описывает преимущества нового подхода здесь и предоставляет множество различных примеров того, как реализовать изменение программно или путем прямого редактирования файла ApplicationHost.config (который похож на web.config, но работает на уровне IIS, а не на уровне отдельного сайта. ). ApplicationHost.config можно найти в C: \ Windows \ System32 \ inetsrv \ config.

Я описал здесь два примера методов, чтобы избежать гниения ссылок.

Способ 1 - напрямую редактировать файл ApplicationHost.config Между тегами <site> добавьте эту строку:

<hsts enabled = "true" max-age = "31536000" includeSubDomains = "true" redirectHttpToHttps = "true" />

Способ 2 - Командная строка: Выполните следующее из командной строки с повышенными привилегиями (т.е. правой кнопкой мыши на CMD и запустите от имени администратора). Не забудьте заменить Contoso на имя вашего сайта, как оно отображается в диспетчере IIS.

c:
cd C:\WINDOWS\system32\inetsrv\
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.enabled:True" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.max-age:31536000" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.includeSubDomains:True" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.redirectHttpToHttps:True" /commit:apphost

Другие методы, предлагаемые Microsoft в этих статьях, могут быть лучшими вариантами, если вы находитесь в размещенной среде, к которой у вас ограниченный доступ.

Имейте в виду, что IIS10 версии 1709 сейчас доступен в Windows 10, но для Windows Server 2016 он находится на другом треке выпуска и не будет выпущен в виде исправления или пакета обновления. Подробнее о 1709 см. здесь.