在ssl要求之前重定向到'www'

Question

问题

我目前遇到的问题是https://domain.com没有重定向到https://www.domain.com并显示不受信任的ssl证书.

这与在force_ssl之前重定向到'www'的ruby-on-rails解决方案 有关

题

在SSL要求启动之前,有没有办法重定向到www域？

我正在使用PHP.

Answer 1

HTTPS是基于TLS/SSL的HTTP(请参阅RFC 2818),它首先在发送任何HTTP流量之前建立SSL/TLS连接.mod_rewrite建立SSL/TLS连接后,将始终应用任何重定向(通过,自定义PHP代码或其他).

不这样做实际上是一个安全问题,因为攻击者可以在证书验证之前重写和重定向客户端.

如果你想从重定向https://domain.com到https://www.domain.com,对于所得到的证书https://domain.com必须是有效的domain.com(然后,对于所得到的证书https://www.domain.com必须是有效的www.domain.com).

(如果两个主机在同一个IP地址上提供服务,则可以使用具有服务器名称指示的两个不同证书,但这相当复杂.)

最简单的将是取得证书这是有效的两个domain.com和www.domain.com.这可以使用具有多个主题备用名称条目的单个证书来完成.大多数CA应该能够颁发此类证书.有些人不收取额外费用.