如何強制https只需要在Asp.Net MVC 5網站中授權的頁面？

我發現這個鏈接 Best way in asp.net to force https for an entire site?它將整個網站重定向到https。如何強制https只需要在Asp.Net MVC 5網站中授權的頁面？

我只想爲需要授權的頁面使用https（通常使用[Authorization]屬性） - 例如，賬戶管理和其他一些頁面，以及登錄頁面。並且不要使用https，因爲這些頁面不需要被授權。

2014-05-18 ca9163d9

你不應該這樣做。閱讀MS上的這篇文章http://blogs.msdn.com/b/rickandy/archive/2012/03/23/securing-your-asp-net-mvc-4-app-and-the-new-allowanonymous-attribute .aspx - 特別是「我現在安全了」的最後一點，爲什麼使用ssl只是登錄是一個壞主意 –

謝謝。我已經更新了這個問題。 – ca9163d9

不要。

無論您是否需要，您的身份驗證cookie都會包含在每個請求中。這意味着您通過HTTP而不是HTTPS提供的每個請求都容易受到會話劫持的影響。

來源

2014-05-18 20:42:24 Stijn

即使這些頁面不需要授權？ – ca9163d9

@ dc7a9163d9是的。您的瀏覽器無法知道哪些頁面需要授權。一旦爲某個域設置了cookie，它就會隨每個請求一起發送，直到它過期或被刪除。 – Stijn

如何強制https只需要在Asp.Net MVC 5網站中授權的頁面？

回答

相關問題