ASP.NET Core 教学 - 强制 SSL

ゝ一世哀愁。 2021-06-26 16:06 447阅读 0赞

网站安全性越做越高，不免都要使用 HTTPS 加密连线，但本机用 `localhost` 都是 HTTP，想测试 HTTPS 需要额外的设定。  
本篇将介绍 ASP.NET Core 强制使用 SSL 加密连线。

## 启用 SSL ##

可以再 Web 专案点滑鼠右键，用图形化的工具启用 SSL Port，如下：  
![20201226204636762.png][]  
或直接编辑 `Properties\launchSettings.json`

{ 
      "iisSettings": { 
        "windowsAuthentication": false,
        "anonymousAuthentication": true,
        "iisExpress": { 
          "applicationUrl": "http://localhost:33333/",
          "sslPort": 44333
        }
      },
      "profiles": { 
        "IIS Express": { 
          "commandName": "IISExpress",
          "launchBrowser": true
        }
      }
    }

设定 SSL Port 后，就可以在 `localhost` 使用 `HTTPS` 了。但会遇到隐私权问题，因为我们没有真的汇入凭证，可以先把他忽略。步骤如下：  
![20201226204736164.png][]

![20201226204759172.png][]

## 强制 SSL ##

只有单纯启动 SSL Port 的话，依然可以使用 HTTP，只要自己更改网址列就可以。强制走 HTTPS 的话还要经过以下设定。

先安装两个套件：

1.  Microsoft.AspNetCore.Mvc
2.  Microsoft.AspNetCore.Rewrite

要强制使用 HTTPS 的页面可以在 Action 或 Controller 注册 `RequireHttpsAttribute` 或注册于全域范围，只要不是 HTTPS 就会回传 HTTP Status Code 302 并转址到 HTTPS，如下：

*  **区域注册**  
    *Controllers\\UserController.cs*

using Microsoft.AspNetCore.Mvc;
    // ...
    namespace MyWebsite.Controllers
    { 
        // 区域注册
        [RequireHttps]
        public class UserController : Controller
        { 
            // ...
        }
    }

*  **全域注册**  
    *Startup.cs*

using Microsoft.AspNetCore.Mvc;
    // ...
    public class Startup
    { 
        public void ConfigureServices(IServiceCollection services)
        { 
            // 全域注册
            services.Configure<MvcOptions>(options =>
            { 
                options.Filters.Add(new RequireHttpsAttribute());
            });
        }
    }

`RequireHttpsAttribute` 转址预设是转到 443 Port，如果 HTTPS 不是用 443 Prot，就要在注册 MVC 服务的时候，修改 `SslPort`，如下：

*Startup.cs*

// ...
    public class Startup
    { 
        private readonly int _httpsPort;
    
        public Startup(IHostingEnvironment env)
        { 
            if (env.IsDevelopment())
            { 
                var builder = new ConfigurationBuilder()
                    .SetBasePath(env.ContentRootPath)
                    .AddJsonFile(@"Properties/launchSettings.json");
                var launchConfig = builder.Build();
                _httpsPort = launchConfig.GetValue<int>("iisSettings:iisExpress:sslPort");
            }
        }
    
        public void ConfigureServices(IServiceCollection services)
        { 
            services.AddMvc(options => options.SslPort = _httpsPort);
            // ...
        }
    }

用 `RequireHttpsAttribute` 的方式，只能限制到 MVC / API 的部分，并没有办法连静态档案都强制使用 HTTPS。  
如果整个网站都要用 HTTPS 的话，可以加入 URL Rewrite，将非 HTTPS 都转址到 HTTPS。  
在 `Startup.Configure` 呼叫 `UseRewriter` 加入转址的 Pipeline，如下：

*Startup.cs*

// ...
    public class Startup
    { 
        // ...
        public void Configure(IApplicationBuilder app, )
        {         
            app.UseRewriter(new RewriteOptions().AddRedirectToHttps(301, _httpsPort));
            // ...
        }
    }

完成以上设定后，不管是用 HTTP 还是 HTTPS 最终都会转到 HTTPS 用 SSL 连线了。  
为了网站有更高的安全性，就全部都用 SSL 吧！

## 执行结果 ##

![2020122620441528.png][]

## 参考 ##

[Enforcing SSL in an ASP.NET Core app][]

[20201226204636762.png]: /images/20210626/4c876fd0ed2a4cc5b14c534f97de1600.png
[20201226204736164.png]: /images/20210626/b000acb5ced5472f852c165cab3fe78c.png
[20201226204759172.png]: /images/20210626/b401b9c4676c422b87cb7dea5400fb0c.png
[2020122620441528.png]: /images/20210626/3cf8e17756d441e28378c95469d45f36.png
[Enforcing SSL in an ASP.NET Core app]: https://docs.microsoft.com/en-us/aspnet/core/security/enforcing-ssl