Come rendere Python solo su https Heroku?

Question

Ho un'applicazione python/django su Heroku (Stack di cedro) e vorrei renderlo accessibile solo tramite https. Ho abilitato l'opzione "ssl piggyback" e posso connettermi tramite https.

Ma qual è il modo migliore per disabilitare l'accesso http o il reindirizzamento a https?

Answer 1

Combinare la risposta di @CraigKerstiens e @allanlei in qualcosa che ho testato e verificato per funzionare. Heroku imposta il HTTP_X_FORWARDED_PROTO a https quando richiesta è SSL, e possiamo usare questo per controllare:

from django.conf import settings 
from django.http import HttpResponseRedirect 


class SSLMiddleware(object): 

    def process_request(self, request): 
     if not any([settings.DEBUG, request.is_secure(), request.META.get("HTTP_X_FORWARDED_PROTO", "") == 'https']): 
      url = request.build_absolute_uri(request.get_full_path()) 
      secure_url = url.replace("http://", "https://") 
      return HttpResponseRedirect(secure_url) 

Answer 2

Quale struttura si utilizza per l'applicazione? Se stai usando Django si potrebbe usare un po 'di semplice middleware simile a:

import re 

from django.conf import settings 
from django.core import urlresolvers 
from django.http import HttpResponse, HttpResponseRedirect 


class SSLMiddleware(object): 

    def process_request(self, request): 
     if not any([settings.DEBUG, request.is_secure()]): 
      url = request.build_absolute_uri(request.get_full_path()) 
      secure_url = url.replace("http://", "https://") 
      return HttpResponseRedirect(secure_url) 

Answer 3

Non sono sicuro se @ CraigKerstiens di risposta tiene conto che request.is_secure() restituisce sempre False se dietro proxy inverso del Heroku e non "fisso". Se ricordo male, ciò causerebbe un loop di reindirizzamento HTTP.

Se si esegue Django con gunicorn, un altro modo per farlo è quello di aggiungere la seguente configurazione per di gunicorn

secure_scheme_headers = { 
    'X-FORWARDED-PROTO': 'https' 
} 

Run con alcuni, come questo nella vostra Procfile

web: python manage.py run_gunicorn -b 0.0.0.0:$PORT -c config/gunicorn.conf 

Impostando gunicorn di secure-scheme-header, request.is_secure() restituirà correttamente True su richieste https. Vedi Gunicorn Config.

Ora il middleware di CraigKerstiens funzionerà correttamente, comprese le chiamate a request.is_secure() nella tua app.

Nota: Django ha anche la stessa impostazione di configurazione chiamata SECURE_PROXY_SSL_HEADER, ma nella versione dev.

Answer 4

Se stai usando Flask, questo funziona abbastanza bene:

1) Do "pip installare flask- sslify"

(GitHub è qui: https://github.com/kennethreitz/flask-sslify)

2) includere le seguenti righe:

from flask_sslify import SSLify 
if 'DYNO' in os.environ: # only trigger SSLify if the app is running on Heroku 
    sslify = SSLify(app) 

Answer 5

Django 1.8 avrà il supporto di base per non HTTPS reindirizzare (integrato da django-secure):

SECURE_SSL_REDIRECT = True # [1] 
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https') 

Affinché SECURE_SSL_REDIRECT da trattare si deve usare il SecurityMiddleware:

MIDDLEWARE = [ 
    ... 
    'django.middleware.security.SecurityMiddleware', 
] 

[1] https://docs.djangoproject.com/en/1.8/ref/settings/#secure-ssl-redirect