ASP.NET MVC: Come disabilitare automaticamente [RequireHttps] su localhost?

Question

Voglio che la mia pagina di login per essere SSL solo:

[RequireHttps] 
    public ActionResult Login() 
    { 
     if (Helper.LoggedIn) 
     { 
      Response.Redirect("/account/stats"); 
     } 

     return View(); 
    } 

Ma ovviamente non funziona su localhost quando sviluppo e il debug la mia domanda. Non voglio usare IIS 7 con i certificati SSL, come posso disabilitare automaticamente l'attributo RequireHttps?

Aggiornamento

Sulla base di informazioni fornite dagli utenti StackOverflow e il codice ASP.NET MVC 2 fonte ho creato la seguente classe che risolve il problema.

public class RequireSSLAttribute : FilterAttribute, IAuthorizationFilter 
{ 
    public virtual void OnAuthorization(AuthorizationContext filterContext) 
    { 
     if (filterContext == null) 
     { 
      throw new ArgumentNullException("filterContext"); 
     } 

     if (!filterContext.HttpContext.Request.IsSecureConnection) 
     { 
      HandleNonHttpsRequest(filterContext); 
     } 
    } 

    protected virtual void HandleNonHttpsRequest(AuthorizationContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.Url.Host.Contains("localhost")) return; 

     if (!String.Equals(filterContext.HttpContext.Request.HttpMethod, "GET", StringComparison.OrdinalIgnoreCase)) 
     { 
      throw new InvalidOperationException("The requested resource can only be accessed via SSL"); 
     } 

     string url = "https://" + filterContext.HttpContext.Request.Url.Host + filterContext.HttpContext.Request.RawUrl; 
     filterContext.Result = new RedirectResult(url); 
    } 
} 

Ed è usato in questo modo:

[RequireSSL] 
public ActionResult Login() 
{ 
    if (Helper.LoggedIn) 
    { 
     Response.Redirect("/account/stats"); 
    } 

    return View(); 
} 

Answer 1

La cosa più semplice sarebbe quella di ricavare un nuovo attributo da RequireHttps e ignorare HandleNonHttpsRequest

protected override void HandleNonHttpsRequest(AuthorizationContext filterContext) 
     { 
      if (!filterContext.HttpContext.Request.Url.Host.Contains("localhost")) 
      { 
       base.HandleNonHttpsRequest(filterContext); 
      } 
     } 

HandleNonHttpsRequest è il metodo che getta l'eccezione, qui tutto ciò che stiamo facendo non è chiamato se l'host è localhost (e come dice Jeff in il suo commento si potrebbe estendere questo per testare gli ambienti o in realtà tutte le altre eccezioni che si desidera).

Answer 2

#if (!DEBUG) 
[RequireHttps] 
#endif 
public ActionResult Login() 
{ 
    if (Helper.LoggedIn) 
    { 
     Response.Redirect("/account/stats"); 
    } 

    return View(); 
} 

Answer 3

È possibile incapsulare questo requisito in un attributo derivato:

class RequireHttpsNonDebugAttribute : RequireHttpsAttribute { 
    public override void HandleNonHttpsRequest(AuthorizationContext ctx) { 
     #if (!DEBUG) 
     base.HandleNonHttpsRequest(ctx); 
     #endif 
    } 
} 

Answer 4

public static void RegisterGlobalFilters(GlobalFilterCollection filters) { 

     if (!HttpContext.Current.IsDebuggingEnabled) { 
      filters.Add(new RequireHttpsAttribute()); 
     } 
    } 

Answer 5

MVC 6 (ASP.NET core 1.0):

La soluzione corretta sarebbe quella di utilizzare env.IsProduction() o env.IsDevelopment().

Esempio:

Startup.cs - AddMvc con un filtro personalizzato: Filtro

public void ConfigureServices(IServiceCollection services) 
{ 
    // TODO: Register other services 

    services.AddMvc(options => 
    { 
     options.Filters.Add(typeof(RequireHttpsInProductionAttribute)); 
    }); 
} 

personalizzate ereditano dalle decisioni RequireHttpsAttribute

public class RequireHttpsInProductionAttribute : RequireHttpsAttribute 
{ 
    private bool IsProduction { get; } 

    public RequireHttpsInProductionAttribute(IHostingEnvironment environment) 
    { 
     if (environment == null) 
      throw new ArgumentNullException(nameof(environment)); 
     this.IsProduction = environment.IsProduction(); 
    } 
    public override void OnAuthorization(AuthorizationContext filterContext) 
    { 
     if (this.IsProduction) 
      base.OnAuthorization(filterContext); 
    } 
    protected override void HandleNonHttpsRequest(AuthorizationContext filterContext) 
    { 
     if(this.IsProduction) 
      base.HandleNonHttpsRequest(filterContext); 
    } 
} 

design spiegato:

1. Utilizzare l'ambiente IsProduction() o IsDevelopment() su es. "#if DEBUG". A volte rilasciamo/pubblichiamo in modalità DEBUG sul nostro server di test e non vogliamo disabilitare questo requisito di sicurezza. Questo deve essere disabilitato solo in localhost/sviluppo (dal momento che siamo troppo pigri per configurare localhost SSL in IIS Express o qualsiasi cosa usiamo localmente).
2. Utilizzare il filtro in Startup.cs per l'installazione globale (poiché desideriamo che questo si applichi ovunque). L'avvio dovrebbe essere responsabile della registrazione e dell'impostazione di tutte le regole globali. Se la tua azienda impiega un nuovo sviluppatore, si aspetterebbe di trovare la configurazione globale in Startup.cs.
3. Utilizzare la logica RequireHttpsAttribute poiché è stato provato (da Microsoft). L'unica cosa che vogliamo cambiare è quando viene applicata la logica (produzione) e quando non lo è (sviluppo/localhost). Non utilizzare mai stringhe "magiche" come "http: //" e "https: //" quando possono essere evitate riutilizzando un componente Microsoft creato per fornire la stessa logica.

Sopra vorrei prendere in considerazione la soluzione "corretta".

Nota:

Come alternativa, potremmo fare una "classe BaseController: Controller" e fare tutti i nostri controllori ereditano da "BaseController" (invece di Controller). Quindi dobbiamo solo impostare l'attributo 1 posto globale (e non è necessario registrare il filtro in Startup.cs).

Alcune persone preferiscono lo stile dell'attributo. Si prega di notare che questo eliminerà i vantaggi della decisione di design # 2.

Esempio di utilizzo:

[RequireHttpsInProductionAttribute] 
public class BaseController : Controller 
{ 
    // Maybe you have other shared controller logic.. 
} 

public class HomeController : BaseController 
{ 
    // Add endpoints (GET/POST) for Home controller 
}