Jak zmusić użytkowników do uzyskiwania dostępu do mojej strony przez HTTPS zamiast HTTP?

Mam tylko jedną stronę, którą chcę wymusić, aby była dostępna jako strona HTTPS (PHP na Apache). Jak to zrobić, aby cały katalog nie wymagał protokołu HTTPS? Lub, jeśli wysyłasz formularz na stronę HTTPS ze strony HTTP, czy wysyła go przez HTTPS zamiast HTTP?

Oto mój przykład:

http://www.example.com/some-page.php

Chcę, aby był dostępny tylko przez:

https://www.example.com/some-page.php

Jasne, mogę umieścić wszystkie linki do tej strony wskazujące na wersję HTTPS, ale to nie powstrzymuje jakiegoś głupca przed celowym dostępem do niej przez HTTP ...

Jedną z rzeczy, o których pomyślałem, było umieszczenie przekierowania w nagłówku pliku PHP, aby sprawdzić, czy mają dostęp do wersji HTTPS:

if($_SERVER["SCRIPT_URI"] == "http://www.example.com/some-page.php"){
  header('Location: https://www.example.com/some-page.php');
}

Ale to nie może być właściwy sposób, prawda?

Sposób, w jaki zrobiłem to wcześniej, jest zasadniczo taki, jak napisałeś, ale nie ma żadnych wartości zakodowanych na stałe:

if ($ _ SERVER ["HTTPS"]! = "on")
{
    nagłówek ("Lokalizacja: https: //". $ _SERVER ["HTTP_HOST"]. $ _SERVER ["REQUEST_URI"]);
    wyjście();
}

Możesz to zrobić za pomocą dyrektywy i mod_rewrite na Apache:

<Location /buyCrap.php>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}
</Location>

Jeśli chcesz, możesz z czasem ulepszyć Lokalizację, używając wyrażeń regularnych .

Należy zmusić klienta do żądania protokołu HTTPS zawsze z nagłówkami HTTP Strict Transport Security (HSTS):

// Use HTTP Strict Transport Security to force client to use secure connections only
$use_sts = true;

// iis sets HTTPS to 'off' for non-SSL requests
if ($use_sts && isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] != 'off') {
    header('Strict-Transport-Security: max-age=31536000');
} elseif ($use_sts) {
    header('Location: https://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'], true, 301);
    // we are in cleartext at the moment, prevent further execution and output
    die();
}

Należy pamiętać, że HSTS jest obsługiwany w większości nowoczesnych przeglądarek, ale nie jest uniwersalny. W związku z tym powyższa logika ręcznie przekierowuje użytkownika niezależnie od obsługi, jeśli kończy się na HTTP, a następnie ustawia nagłówek HSTS tak, aby dalsze żądania klientów były przekierowywane przez przeglądarkę, jeśli to możliwe.

Właśnie utworzyłem plik .htaccess i dodałem:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

Prosty !

// Force HTTPS for security
if($_SERVER["HTTPS"] != "on") {
    $pageURL = "Location: https://";
    if ($_SERVER["SERVER_PORT"] != "80") {
        $pageURL .= $_SERVER["SERVER_NAME"] . ":" . $_SERVER["SERVER_PORT"] . $_SERVER["REQUEST_URI"];
    } else {
        $pageURL .= $_SERVER["SERVER_NAME"] . $_SERVER["REQUEST_URI"];
    }
    header($pageURL);
}

Musiałem zrobić coś takiego podczas pracy za modułem równoważenia obciążenia. Wskazówka dotycząca kapelusza https://stackoverflow.com/a/16076965/766172

function isSecure() {
    return (
        (!empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off')
     || $_SERVER['SERVER_PORT'] == 443
     || (
            (!empty($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] == 'https')
         || (!empty($_SERVER['HTTP_X_FORWARDED_SSL'])   && $_SERVER['HTTP_X_FORWARDED_SSL'] == 'on')
        )
    );
}

function requireHTTPS() {
    if (!isSecure()) {
        header('Location: https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'], TRUE, 301);
        exit;
    }
}

Sposób PHP:

$is_https=false;
if (isset($_SERVER['HTTPS'])) $is_https=$_SERVER['HTTPS'];
if ($is_https !== "on")
{
    header("Location: https://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']);
    exit(1);
}

Sposób mod_rewrite Apache:

RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

http://www.besthostratings.com/articles/force-ssl-htaccess.html

Czasami może zajść potrzeba upewnienia się, że użytkownik przegląda witrynę, korzystając z bezpiecznego połączenia. Łatwy sposób na zawsze przekierowanie użytkownika do bezpiecznego połączenia (https: //) można osiągnąć za pomocą pliku .htaccess zawierającego następujące wiersze:

RewriteEngine On 
RewriteCond %{SERVER_PORT} 80 
RewriteRule ^(.*)$ https://www.example.com/$1 [R,L]

Należy pamiętać, że plik .htaccess powinien znajdować się w głównym folderze witryny internetowej.

Jeśli chcesz wymusić HTTPS dla określonego folderu, możesz użyć:

RewriteEngine On 
RewriteCond %{SERVER_PORT} 80 
RewriteCond %{REQUEST_URI} somefolder 
RewriteRule ^(.*)$ https://www.domain.com/somefolder/$1 [R,L]

Plik .htaccess należy umieścić w folderze, w którym chcesz wymusić HTTPS.

Ok .. Teraz jest na ten temat mnóstwo rzeczy, ale nikt tak naprawdę nie odpowiada na pytanie „Bezpieczne”. Dla mnie używanie czegoś, co jest niepewne, jest absurdalne.

Chyba że użyjesz go jako przynęty.

Propagacja $ _SERVER może zostać zmieniona na życzenie kogoś, kto wie jak.

Również, jak stwierdzili Sazzad Tushar Khan i thebigjc, możesz również użyć httaccess, aby to zrobić, a tutaj jest wiele odpowiedzi, które go zawierają.

Poprostu dodaj:

RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://example.com/$1 [R,L]

do końca tego, co masz w swoim .httaccess i to wszystko.

Wciąż nie jesteśmy tak bezpieczni, jak to tylko możliwe dzięki tym 2 narzędziom.

Reszta jest prosta. Jeśli brakuje atrybutów, tj ...

if(empty($_SERVER["HTTPS"])){ // SOMETHING IS FISHY
}

if(strstr($_SERVER['HTTP_HOST'],"mywebsite.com") === FALSE){// Something is FISHY
}

Powiedz również, że zaktualizowałeś swój plik httaccess i sprawdziłeś:

if($_SERVER["HTTPS"] !== "on"){// Something is fishy
}

Jest o wiele więcej zmiennych, które możesz sprawdzić, np.

HOST_URI (Jeśli istnieją statyczne atrybuty tego do sprawdzenia)

HTTP_USER_AGENT (Różne wartości w tej samej sesji)

Więc wszystko, co mówię, to nie poprzestawać na jednym lub drugim, gdy odpowiedź leży w kombinacji.

Aby uzyskać więcej informacji na temat przepisywania httaccess, zobacz dokumentację-> http://httpd.apache.org/docs/2.0/misc/rewriteguide.html

Some Stacks here -> Force SSL / https using .htaccess and mod_rewrite
and
Getting the full URL of the bieżąca strona (PHP),
aby nazwać parę.

Użyj, $_SERVER['HTTPS']aby sprawdzić, czy jest to SSL , i przekieruj we właściwe miejsce, jeśli nie.

I pamiętaj, strona, na której jest wyświetlany formularz, nie musi być zasilana przez HTTPS, to adres zwrotny postu, który najbardziej tego potrzebuje.

Edycja : tak, jak wskazano poniżej, najlepiej jest mieć cały proces w HTTPS. To o wiele bardziej uspokajające - zwracałem uwagę, że post jest najbardziej krytyczną częścią. Musisz również uważać, aby wszystkie pliki cookie były ustawione jako bezpieczne, więc będą wysyłane tylko przez SSL. Rozwiązanie mod_rewrite jest również bardzo sprytne, użyłem go do zabezpieczenia wielu aplikacji na mojej własnej stronie internetowej.

zastosowanie htaccess:

#if domain has www. and not https://
  RewriteCond %{HTTPS} =off [NC]
  RewriteCond %{HTTP_HOST} ^(?i:www+\.+[^.]+\.+[^.]+)$
  RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [QSA,L,R=307]

#if domain has not www.
  RewriteCond %{HTTP_HOST} ^([^.]+\.+[^.]+)$
  RewriteRule ^(.*)$ https://www.%{HTTP_HOST}%{REQUEST_URI} [QSA,L,R=307]

Nie mieszaj HTTP i HTTPS na tej samej stronie. Jeśli masz stronę formularza, która jest obsługiwana przez HTTP, będę się denerwować przesyłaniem danych - nie mogę sprawdzić, czy przesyłanie przechodzi przez HTTPS lub HTTP bez wykonania widoku źródła i szukania go.

Dostarczanie formularza przez HTTPS wraz z linkiem do przesyłania nie jest tak dużą zmianą na korzyść.

Jeśli używasz Apache lub czegoś takiego jak LiteSpeed, który obsługuje pliki .htaccess, możesz wykonać następujące czynności. Jeśli nie masz jeszcze pliku .htaccess, powinieneś utworzyć nowy plik .htaccess w swoim katalogu głównym (zwykle tam, gdzie znajduje się plik index.php). Teraz dodaj te linie jako pierwsze reguły przepisywania w twoim .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Potrzebujesz instrukcji "RewriteEngine On" tylko raz w swoim .htaccess dla wszystkich reguł przepisywania, więc jeśli już ją masz, po prostu skopiuj drugą i trzecią linię.

Mam nadzieję, że to pomoże.

Korzystanie z tego nie wystarczy:

if($_SERVER["HTTPS"] != "on")
{
    header("Location: https://" . $_SERVER["HTTP_HOST"] . $_SERVER["REQUEST_URI"]);
    exit();
}

Jeśli masz jakiekolwiek treści http (np. Zewnętrzne źródło obrazu http), przeglądarka wykryje potencjalne zagrożenie. Więc upewnij się, że wszystkie ref i src w kodzie to https

Przeszedłem przez wiele rozwiązań sprawdzających stan $ _SERVER [HTTPS], ale wydaje mi się, że nie jest on niezawodny, ponieważ czasami nie włącza się, wyłącza itp., Powodując przekierowanie skryptu do wewnętrznej pętli.

Oto najbardziej niezawodne rozwiązanie, jeśli Twój serwer obsługuje usługę $ _SERVER [SCRIPT_URI]

if (stripos(substr($_SERVER[SCRIPT_URI], 0, 5), "https") === false) {
    header("location:https://$_SERVER[HTTP_HOST]$_SERVER[REQUEST_URI]");
    echo "<meta http-equiv='refresh' content='0; url=https://$_SERVER[HTTP_HOST]$_SERVER[REQUEST_URI]'>";
    exit;
}

Zwróć uwagę, że w zależności od twojej instalacji, twój serwer może nie obsługiwać $ _SERVER [SCRIPT_URI], ale jeśli tak, to jest to lepszy skrypt.

Możesz sprawdzić tutaj: Dlaczego niektóre instalacje PHP mają $ _SERVER ['SCRIPT_URI'], a inne nie

Dla osób korzystających z usług IIS dodanie tego wiersza w pliku web.config pomoże:

<httpProtocol>
    <customHeaders>
        <add name="Strict-Transport-Security" value="max-age=31536000"/>
    </customHeaders>
</httpProtocol>
<rewrite>
    <rules>
        <rule name="HTTP to HTTPS redirect" stopProcessing="true">
              <match url="(.*)" />
              <conditions>
                 <add input="{HTTPS}" pattern="off" ignoreCase="true" />
              </conditions>
              <action type="Redirect" redirectType="Found" url="https://{HTTP_HOST}/{R:1}" />
         </rule>
    </rules>
</rewrite>

Pełny przykładowy plik

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <httpProtocol>
            <customHeaders>
                <add name="Strict-Transport-Security" value="max-age=31536000"/>
             </customHeaders>
        </httpProtocol>
        <rewrite>
            <rules>
                <rule name="HTTP to HTTPS redirect" stopProcessing="true">
                      <match url="(.*)" />
                      <conditions>
                         <add input="{HTTPS}" pattern="off" ignoreCase="true" />
                      </conditions>
                      <action type="Redirect" redirectType="Found" url="https://{HTTP_HOST}/{R:1}" />
                 </rule>
            </rules>
       </rewrite>
   </system.webServer>
</configuration>

Nie powinieneś ze względów bezpieczeństwa. Zwłaszcza jeśli w grę wchodzą pliki cookie. Powoduje to, że jesteś otwarty na ataki typu „powtórka” oparte na plikach cookie.

Tak czy inaczej, powinieneś użyć reguł kontroli Apache, aby go dostroić.

Następnie możesz przetestować, czy protokół HTTPS jest włączony i w razie potrzeby przekierować.

Powinieneś przekierowywać do strony płatności tylko za pomocą FORMULARZA POSTU (bez POST), a dostęp do strony bez POST powinien być kierowany z powrotem na inne strony. (To złapie ludzi po prostu skaczących.)

http://joseph.randomnetworks.com/archives/2004/07/22/redirect-to-ssl-using-apaches-htaccess/

To dobre miejsce na rozpoczęcie, przepraszam, że nie zapewniam więcej. Ale naprawdę powinieneś wszystko przepchnąć przez SSL.

To nadmierna ochrona, ale przynajmniej masz mniej zmartwień.

może ten może pomóc, ty, tak zrobiłem dla mojej strony, działa jak marzenie:

$protocol = $_SERVER["HTTP_CF_VISITOR"];

if (!strstr($protocol, 'https')){
    header("Location: https://" . $_SERVER["HTTP_HOST"] . $_SERVER["REQUEST_URI"]);
    exit();
}

Jeśli chcesz użyć do tego PHP, ten sposób zadziałał dla mnie naprawdę dobrze:

<?php

if(!isset($_SERVER["HTTPS"]) || $_SERVER["HTTPS"] != "on") {
    header("Location: https://" . $_SERVER["HTTP_HOST"] . $_SERVER["REQUEST_URI"], true, 301);
    //Prevent the rest of the script from executing.
    exit;
}
?>

Sprawdza zmienną HTTPS w superglobalnej tablicy $ _SERVER, aby zobaczyć, czy jest równa „on”. Jeśli zmienna nie jest równa on.

Użyłem tego skryptu i działa dobrze na stronie.

if(empty($_SERVER['HTTPS']) || $_SERVER['HTTPS'] == "off"){
    $redirect = 'https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];
    enter code hereheader('HTTP/1.1 301 Moved Permanently');
    header('Location: ' . $redirect);
    exit();
}

<?php 
// Require https
if ($_SERVER['HTTPS'] != "on") {
    $url = "https://". $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI'];
    header("Location: $url");
    exit;
}
?>

Tak proste.