强制 HTTP 到 HTTPS 重定向

Question

我在 SharePoint 上有一个网站，并且已成功实现 HTTP To HTTPS 重定向。

但是，如果用户转到 URL 并从“https”中删除“s”，则无需 SSL 即可访问站点。

我想要一种在所有情况下都强制将用户重定向到 HTTPS 的方法。如何使用 IIS 或 SharePoint 管理中心实现这一目标？

Answer 1

您可以为相关域设置 HSTS ( RFC 6797 ) 以及从 HTTP 到 HTTPS 的重定向。（如果为 HTTP 站点打开，则不支持HSTS ，实际上在 HTTP 连接上包含 HSTS 标头是违反 RFC 的；必须使用HTTPS ，并且 RFC要求通过非安全传输接收的任何 HSTS 标头被忽略。）

通过设置 HSTS（HTTP 严格传输安全），您可以指示任何兼容的 Web 浏览器：

• 如果HTTPS建立过程中出现任何错误，则拒绝连接到服务器
• 拒绝通过纯文本 HTTP 连接到服务器

在 HSTS 标头中规定的max-age期间。

只要确保您没有搞乱 HTTPS 配置或有证书问题，否则您会将人们拒之门外。（第8.4节安全传输建立错误和12.1 无用户追索权。）

大多数现代 Web 浏览器都支持 HSTS，打开它不会对那些不支持的浏览器造成任何明显的伤害（一个微小的额外 HTTP 标头）。

为了获得更多的用处，您应该301 Moved Permanently在通过 HTTP 请求页面时将其与固定值结合使用，使用 HTTPS 指向相应的位置。你的问题有点不清楚你是否真的做到了这一点；您说您“已成功实现 HTTP To HTTPS 重定向”，但如果您完全成功，则用户在尝试通过 HTTP 访问站点时只会被重定向回 HTTPS。与此结合使用时，HSTS 的优点是它指示浏览器对相关域名根本不使用 HTTP；301 重定向仅适用于特定 URL。