最好的方法在asp.net强制https为整个网站?

请使用hst (HTTP严格传输安全)

从http://www.hanselman.com/blog/HowToEnableHTTPStrictTransportSecurityHSTSInIIS7.aspx

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<system.webServer>
<rewrite>
<rules>
<rule name="HTTP to HTTPS redirect" stopProcessing="true">
<match url="(.*)" />
<conditions>
<add input="{HTTPS}" pattern="off" ignoreCase="true" />
</conditions>
<action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
redirectType="Permanent" />
</rule>
</rules>
<outboundRules>
<rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
<match serverVariable="RESPONSE_Strict_Transport_Security"
pattern=".*" />
<conditions>
<add input="{HTTPS}" pattern="on" ignoreCase="true" />
</conditions>
<action type="Rewrite" value="max-age=31536000" />
</rule>
</outboundRules>
</rewrite>
</system.webServer>
</configuration>

原来的答案(2015年12月4日替换为上述)

基本上

protected void Application_BeginRequest(Object sender, EventArgs e)
{
if (HttpContext.Current.Request.IsSecureConnection.Equals(false) && HttpContext.Current.Request.IsLocal.Equals(false))
{
Response.Redirect("https://" + Request.ServerVariables["HTTP_HOST"]
+   HttpContext.Current.Request.RawUrl);
}
}

它会被放到global。asax。cs(或global。asax。vb)

我不知道如何在web.config中指定它

如果你不能在IIS中设置这个，我会做一个HTTP模块，为你重定向:

using System;
using System.Web;


namespace HttpsOnly
{
/// <summary>
/// Redirects the Request to HTTPS if it comes in on an insecure channel.
/// </summary>
public class HttpsOnlyModule : IHttpModule
{
public void Init(HttpApplication app)
{
// Note we cannot trust IsSecureConnection when
// in a webfarm, because usually only the load balancer
// will come in on a secure port the request will be then
// internally redirected to local machine on a specified port.


// Move this to a config file, if your behind a farm,
// set this to the local port used internally.
int specialPort = 443;


if (!app.Context.Request.IsSecureConnection
|| app.Context.Request.Url.Port != specialPort)
{
app.Context.Response.Redirect("https://"
+ app.Context.Request.ServerVariables["HTTP_HOST"]
+ app.Context.Request.RawUrl);
}
}


public void Dispose()
{
// Needed for IHttpModule
}
}
}

然后将其编译为DLL，将其作为项目的引用添加到web.config中:

 <httpModules>
<add name="HttpsOnlyModule" type="HttpsOnly.HttpsOnlyModule, HttpsOnly" />
</httpModules>

IIS7模块将允许您重定向。

    <rewrite>
<rules>
<rule name="Redirect HTTP to HTTPS" stopProcessing="true">
<match url="(.*)"/>
<conditions>
<add input="{HTTPS}" pattern="^OFF$"/>
</conditions>
<action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="SeeOther"/>
</rule>
</rules>
</rewrite>

这也取决于你的平衡器的品牌，对于web mux，你需要寻找http头X-WebMux-SSL-termination: true来计算传入的流量是ssl。详细信息在这里:http://www.cainetworks.com/support/redirect2ssl.html

你可以做的另一件事是使用hst，将“Strict-Transport-Security”标头返回给浏览器。浏览器必须支持这一点(目前主要是Chrome和Firefox支持)，但这意味着一旦设置好，浏览器将不会通过HTTP向站点发出请求，而是在发出请求之前将它们转换为HTTPS请求。尝试结合从HTTP重定向:

protected void Application_BeginRequest(Object sender, EventArgs e)
{
switch (Request.Url.Scheme)
{
case "https":
Response.AddHeader("Strict-Transport-Security", "max-age=300");
break;
case "http":
var path = "https://" + Request.Url.Host + Request.Url.PathAndQuery;
Response.Status = "301 Moved Permanently";
Response.AddHeader("Location", path);
break;
}
}

不了解HSTS的浏览器将忽略头文件，但仍然会被switch语句捕获并发送到HTTPS。

对于上面的@Joe，“这是给我一个重定向循环。在我添加代码之前，它工作得很好。有什么建议吗?——乔11月8日11月4点13分

这种情况也发生在我身上，我认为发生的情况是有一个负载均衡器在Web服务器前终止SSL请求。因此，我的Web站点总是认为请求是“http”，即使原始浏览器要求它是“https”。

我承认这有点笨拙，但对我来说有用的是实现一个“JustRedirected”属性，我可以利用它来确定这个人已经被重定向过一次。因此，我测试保证重定向的特定条件，如果满足这些条件，我就在重定向之前设置这个属性(存储在会话中的值)。即使重定向的http/https条件第二次得到满足，我也会绕过重定向逻辑并将“JustRedirected”会话值重置为false。你需要自己的条件测试逻辑，这里有一个属性的简单实现:

    public bool JustRedirected
{
get
{
if (Session[RosadaConst.JUSTREDIRECTED] == null)
return false;


return (bool)Session[RosadaConst.JUSTREDIRECTED];
}
set
{
Session[RosadaConst.JUSTREDIRECTED] = value;
}
}

如果SSL支持在您的站点中不可配置(例如。应该能够打开/关闭https) -你可以在任何你希望保护的控制器/控制器动作上使用[RequireHttps]属性。

你需要做的是:

1)在web中添加一个键。配置，取决于生产或阶段服务器如下所示

<add key="HttpsServer" value="stage"/>
or
<add key="HttpsServer" value="prod"/>

2)在Global内部。Asax文件添加如下方法。

void Application_BeginRequest(Object sender, EventArgs e)
{
//if (ConfigurationManager.AppSettings["HttpsServer"].ToString() == "prod")
if (ConfigurationManager.AppSettings["HttpsServer"].ToString() == "stage")
{
if (!HttpContext.Current.Request.IsSecureConnection)
{
if (!Request.Url.GetLeftPart(UriPartial.Authority).Contains("www"))
{
HttpContext.Current.Response.Redirect(
Request.Url.GetLeftPart(UriPartial.Authority).Replace("http://", "https://www."), true);
}
else
{
HttpContext.Current.Response.Redirect(
Request.Url.GetLeftPart(UriPartial.Authority).Replace("http://", "https://"), true);
}
}
}
}

对于那些使用ASP。净MVC。您可以使用以下两种方式在整个站点上强制使用HTTPS之上的SSL/TLS:

艰难的方式

1 -添加requirehttpattribute到全局过滤器:

GlobalFilters.Filters.Add(new RequireHttpsAttribute());

2 -强制防伪造令牌使用SSL/TLS:

AntiForgeryConfig.RequireSsl = true;

3 -通过更改Web，要求cookie默认要求HTTPS。配置文件:

<system.web>
<httpCookies httpOnlyCookies="true" requireSSL="true" />
</system.web>

4 -使用NWebSec。拥有NuGet包并添加以下代码行以启用整个站点的严格传输安全。不要忘记添加下面的Preload指令，并将你的网站提交给HSTS预加载站点。更多信息在这里和在这里。请注意，如果您不使用OWIN，也可以使用Web。config方法，你可以在NWebSec站点上阅读。

// app is your OWIN IAppBuilder app in Startup.cs
app.UseHsts(options => options.MaxAge(days: 30).Preload());

5 -使用NWebSec。拥有NuGet包并添加以下代码行，以启用跨站点的公钥固定(HPKP)。更多信息在这里和在这里。

// app is your OWIN IAppBuilder app in Startup.cs
app.UseHpkp(options => options
.Sha256Pins(
"Base64 encoded SHA-256 hash of your first certificate e.g. cUPcTAZWKaASuYWhhneDttWpY3oBAkE3h2+soZS7sWs=",
"Base64 encoded SHA-256 hash of your second backup certificate e.g. M8HztCzM3elUxkcjR2S5P4hhyBNf6lHkmjAHKhpGPWE=")
.MaxAge(days: 30));

6 -包括https方案在任何URL的使用。当你在某些浏览器中模仿该方案时，内容安全策略(CSP) HTTP报头和子资源完整性(SRI)不能很好地发挥作用。对于HTTPS最好是明确的。如。

<script src="https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.4/bootstrap.min.js"></script>

简单的方法

使用ASP。NET MVC样板 Visual Studio项目模板生成一个包含所有这些以及更多内置内容的项目。你也可以在GitHub上查看代码。

我要发表我的意见。如果你可以访问IIS服务器端，然后你可以通过使用协议绑定强制HTTPS。例如，你有一个名为废话的网站。在IIS中，你需要设置两个站点:废话和等等(重定向)。对于废话，只配置HTTPS绑定(如果需要的话，还有FTP，确保也通过安全连接强制它)。对于等等(重定向)只配置HTTP绑定。最后，在等等(重定向)的FTP1部分中，确保设置一个301重定向到https://blah.com，并启用确切目的地。确保IIS中的每个站点都指向它的FTP3根文件夹，否则FTP4将全部被搞砸。还要确保在您的HTTPSed站点上配置了HSTS，以便浏览器的后续请求始终强制使用HTTPS，并且不会发生重定向。

简单地在公共类HomeController: Controller的顶部添加[RequireHttps]。

->并添加GlobalFilters.Filters。添加(新RequireHttpsAttribute ());在Global.asax.cs文件中的'protected void Application_Start()'方法中。

强制整个应用程序使用HTTPS。

这是基于@特洛伊·亨特的更全面的回答。将此函数添加到Global.asax.cs中的WebApplication类中:

    protected void Application_BeginRequest(Object sender, EventArgs e)
{
// Allow https pages in debugging
if (Request.IsLocal)
{
if (Request.Url.Scheme == "http")
{
int localSslPort = 44362; // Your local IIS port for HTTPS


var path = "https://" + Request.Url.Host + ":" + localSslPort + Request.Url.PathAndQuery;


Response.Status = "301 Moved Permanently";
Response.AddHeader("Location", path);
}
}
else
{
switch (Request.Url.Scheme)
{
case "https":
Response.AddHeader("Strict-Transport-Security", "max-age=31536000");
break;
case "http":
var path = "https://" + Request.Url.Host + Request.Url.PathAndQuery;
Response.Status = "301 Moved Permanently";
Response.AddHeader("Location", path);
break;
}
}
}

(要在本地构建中启用SSL，请在项目的Properties dock中启用它)

如果您正在使用ASP。你可以试试这个包:赛达。aspnetcore . httpwithstricttransport security。

然后你只需要加

app.UseHttpsWithHsts(HttpsMode.AllowedRedirectForGet, configureRoutes: routeAction);

这也会将HTTP StrictTransportSecurity头添加到所有使用https方案的请求中。

示例代码和文档https://github.com/saidout/saidout-aspnetcore-httpswithstricttransportsecurity#example-code

我花了一些时间寻找有意义的最佳实践，发现下面的方法非常适合我。我希望这能帮你节省时间。

或在您自己的服务器上 https://www.sslshopper.com/iis7-redirect-http-to-https.html < / p > < p >(简答题) 下面的代码放入

<system.webServer>
<rewrite>
<rules>
<rule name="HTTP/S to HTTPS Redirect" enabled="true"
stopProcessing="true">
<match url="(.*)" />
<conditions logicalGrouping="MatchAny">
<add input="{SERVER_PORT_SECURE}" pattern="^0$" />
</conditions>
<action type="Redirect" url="https://{HTTP_HOST}{REQUEST_URI}"
redirectType="Permanent" />
</rule>
</rules>
</rewrite>

在IIS10 (Windows 10和Server 2016)中，从1709版本开始，有一个新的、更简单的选项可以为网站启用HSTS。

微软描述了新方法在这里的优点，并提供了许多不同的示例，说明如何通过编程或直接编辑ApplicationHost实现更改。配置文件(类似web。配置，但操作在IIS级别，而不是个别站点级别)。ApplicationHost。config可以在c:\ windows \ system32 \inetsrv\config目录下找到。

我在这里概述了避免链接失效的两个示例方法。

方法1 -编辑ApplicationHost。配置文件 在<site>标记之间，添加这一行:

<hsts enabled="true" max-age="31536000" includeSubDomains="true" redirectHttpToHttps="true" />

方法2 -命令行: 从升高的命令提示符(即在CMD上用鼠标右键并以管理员身份运行)执行以下命令。记住将Contoso与IIS管理器中显示的站点名称交换

c:
cd C:\WINDOWS\system32\inetsrv\
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.enabled:True" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.max-age:31536000" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.includeSubDomains:True" /commit:apphost
appcmd.exe set config -section:system.applicationHost/sites "/[name='Contoso'].hsts.redirectHttpToHttps:True" /commit:apphost

如果您处于访问受限的托管环境中，那么微软在文章中提供的其他方法可能是更好的选择。

请记住，IIS10版本1709现在可以在Windows 10上使用，但对于Windows Server 2016，它在不同的发布轨道上，并且不会作为补丁或服务包发布。有关1709的详细信息，请参见在这里。