已經使用重寫模塊重定向到ssl - 矯枉過正也在asp.net中做？

Question

如果檢測到http，我正在使用IIS 7重寫模塊重定向頁面以使用https。

重寫模塊是否可以被旁路？如果在頁面加載代碼中加入https檢查，那麼這樣做是否過分矯枉過正？

Answer 1

如果你想強制使用SSL，最好的辦法是隻使用端口443.如果你只需要在你的網站的某些頁面使用SSL，我的建議是將這些文件移動到一個特殊的Web應用程序或虛擬目錄中。這樣做，您可以強制這些文件的SSL連接，而不必擔心重寫規則。您可以查看如何在此處執行此操作：http://learn.iis.net/page.aspx/144/how-to-set-up-ssl-on-iis-7/

如果應用程序cookie未使用「Secure」屬性，則允許通過HTTP和HTTPS連接到同一資源來執行cookie竊取攻擊。