68

有没有办法要求 WebApi 使用 SSL？一个属性？

我在 下看不到适用System.Web.Http的属性，类似于RequireHttps我们为 MVC 拥有的属性。如果有内置解决方案，我只是想避免滚动我自己的属性/消息处理程序。

4

6 回答 6

52 
public class RequireHttpsAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(HttpStatusCode.Forbidden);
        }
    }
}
于 2013-05-01T09:37:23.243 回答
47

您可以使用 WebAPIContrib 项目中的RequireHttpsHandler。基本上，它所做的只是检查传入的请求 URI 方案：

if (request.RequestUri.Scheme != Uri.UriSchemeHttps)
{
  // Forbidden (or do a redirect)...
}

或者，Carlos Figueira在他的 MSDN 博客上有另一个实现。

于 2012-06-29T20:25:05.080 回答
20

令人费解的是，在 ASP.NET Web API 中没有等效于 ASP.NET MVC RequireHttps 属性。但是，您可以轻松地基于MVC 中的RequireHttps创建一个。

using System;
using System.Net.Http;
using System.Web.Http.Controllers;
using System.Web.Http.Filters;

...

public class RequireHttpsAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext == null)
        {
            throw new ArgumentNullException("actionContext");
        }

        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            HandleNonHttpsRequest(actionContext);
        }
        else
        {
            base.OnAuthorization(actionContext);
        }
    }

    protected virtual void HandleNonHttpsRequest(HttpActionContext actionContext)
    {
        actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden);
        actionContext.Response.ReasonPhrase = "SSL Required";
    }
}

剩下要做的就是争论有多少冗余代码。

于 2013-09-12T14:59:12.093 回答
2

您可以使用以下过滤器类来强制您的操作方法使用 SSL，这将处理您的请求，它是一个 GET 方法或任何其他动词，如果它是一个 get 方法，它会将浏览器（使用位置标头）重定向到新的URI。否则将显示一条消息以使用 https

下面的代码显示您必须在继承自 AuthorizationFilterAttribute 后重写 OnAuthorization 方法。

        string _HtmlBody = string.Empty;
        UriBuilder httpsNewUri;

        var _Request = actionContext.Request;

        if (_Request.RequestUri.Scheme != Uri.UriSchemeHttps )
        {

            _HtmlBody = "<p>Https is required</p>";

            if (_Request.Method.Method == "GET"){

                actionContext.Response = _Request.CreateResponse(HttpStatusCode.Found);
                actionContext.Response.Content = new StringContent(_HtmlBody, Encoding.UTF8, "text/html");

                httpsNewUri = new UriBuilder(_Request.RequestUri);
                httpsNewUri.Scheme = Uri.UriSchemeHttps;
                httpsNewUri.Port = 443;

                //To ask a web browser to load a different web page with the same URI but different scheme and port
                actionContext.Response.Headers.Location = httpsNewUri.Uri;


            }else{

                actionContext.Response = _Request.CreateResponse(HttpStatusCode.NotFound);
                actionContext.Response.Content = new StringContent(_HtmlBody, Encoding.UTF8, "text/html");

            }
}
于 2015-01-03T13:32:03.393 回答
1

您可以使用以下代码；（自动重定向到 https）在发出基于 http 的请求时重定向到 https。

要在 Visual Studio 中检查它，您需要在 Visual Studio 中启用 ssl。这可以使用 enable ssl property to true 来完成。

public class RequireHttpsAttribute: AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if(actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            // constructing the https url
            var uriBuilder = new UriBuilder(actionContext.Request.RequestUri)
            {
                Scheme = Uri.UriSchemeHttps,
                Port = 44353 // port used in visual studio for this 
            };

            actionContext.Response.Headers.Location = uriBuilder.Uri;
        }
    }
}

像这样在注册方法中使用它

config.Filters.Add(new RequireHttpsAttribute());
于 2017-06-27T14:38:10.477 回答
1

经过一些研究，我确定这可能是最合适的反应。尽管规范表明建议使用 Html，但它可以更新为提供 json、文本或 xml。

public class RequireHttpsAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext context)
    {
        if (context.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            context.Response = new HttpResponseMessage(HttpStatusCode.UpgradeRequired);
            context.Response.Headers.Add("Upgrade", "TLS/1.1, HTTP/1.1");
            context.Response.Headers.Add("Connection", "Upgrade");
            context.Response.Headers.Remove("Content-Type");
            context.Response.Headers.Add("Content-Type", "text/html");
            context.Response.Content = new StringContent("<html><head></head><body><h1>Http protocol is not valid for this service call.</h1><h3>Please use the secure protocol https.</h3></body></html>");
        }
        else base.OnAuthorization(context);
    }
}

这是规范：RFC 2817

于 2017-09-25T00:53:38.487 回答