ในแบ็กเอนด์ที่ผมได้เปิดใช้งานการใช้ URL ที่การรักษาความปลอดภัยในส่วนหน้า แต่ผู้ใช้ยังสามารถเข้าชมเว็บไซต์ของฉันผ่าน URL ที่ไม่ปลอดภัยยกเว้นหน้าชำระเงิน / บัญชี
ฉันต้องการบังคับให้ URL ที่ปลอดภัยในทุกหน้า สิ่งที่ฉันทำตอนนี้คือเปลี่ยน URL ฐานที่ไม่ปลอดภัยเป็น "https: // .... "
ดูเหมือนว่าจะทำงาน หากผู้ใช้ใช้ HTTP พวกเขาจะถูกเปลี่ยนเส้นทางไปยัง https แต่ฉันสงสัยว่านี่เป็นวิธีที่ถูกต้องหรือไม่ ผลข้างเคียงใด ๆ
คำตอบ:
คำตอบเริ่มต้นคือตั้ง url ฐานที่ไม่ปลอดภัยเป็น https: // ขึ้นอยู่กับการตั้งค่าของคุณสิ่งนี้ก็เพียงพอแล้วสำหรับการเปลี่ยนเส้นทางหากผู้ใช้ลองใช้ http: //
บางทีการเปลี่ยนเส้นทางในระดับเว็บเซิร์ฟเวอร์อาจดีกว่าเพราะหลีกเลี่ยงการร้องขอผ่าน PHP ก่อน
และถ้าคุณต้องการการแก้ปัญหาที่แท้จริงของการรักษาความปลอดภัยที่ดีที่สุดที่คุณควรเพิ่มเว็บไซต์ของคุณบนhttps://hstspreload.appspot.com/ แต่ระวังด้วยหากคุณต้องการเปลี่ยนใบรับรองของคุณอาจทำให้เกิดปัญหาใหญ่ ให้ Hoster ของคุณห่วงใยในส่วนนี้
คุณสามารถทำได้ด้วย. htaccess ใน apache ใช้บรรทัดเหล่านี้:
############################ Force SSL ############################
RewriteCond %{HTTP_HOST} !^localhost$
RewriteCond %{HTTP:X-Forwarded-Proto} =http
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
############################ Force SSL ############################สำหรับใครก็ตามที่เจอสิ่งนี้ (เหมือนที่ฉันเคยทำ)
อย่าใช้ htaccess ภายใต้ผู้ดูแลระบบไปStores -> General -> Web and change -> Use Secure URLs on Storefront -> Yes and Use Secure URLs in Admin -> Yes
ไม่จำเป็นต้องแก้ไขไฟล์ใด ๆ
ฉันได้ลองใช้วิธีแก้ไขปัญหาก่อนหน้านี้แล้วและแม้ว่าพวกเขาจะทำงานได้ แต่ปิดกั้นฉันไว้จากแผงควบคุม (ไม่เข้าใจเหตุผลทั้งหมด)
เมื่อต้องการเข้าสู่แผงการดูแลระบบอีกครั้งฉันต้องเข้า phpmyadmin และเข้าสู่ตารางฐานข้อมูลcore_config_dataและเปลี่ยนเส้นทางทั้งสอง: web / secure / use_in_adminhtmlและweb / unsecure / base_urlกลับไปที่แผง admin อีกครั้ง และอย่าลืมลบแคชโฟลเดอร์ถ้าคุณต้องทำการแก้ไขในฐานข้อมูล ...
ดังนั้นฉันจึงใช้โซลูชัน. htaccess ต่อไปนี้แทนซึ่งให้ฉันเข้าสู่ระบบด้วยเช่นกัน
# AFTER THIS SECTION
############################################
## workaround for HTTP authorization
## in CGI environment
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
# PUT THIS
############# ALL PAGES HTTPS #################
RewriteCond %{HTTPS} off
RewriteCond %{REQUEST_URI} !/admin/
RewriteCond %{REQUEST_URI} !/downloader/
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
############# ALL PAGES HTTPS #################หวังว่าจะช่วยใครซักคน
แนวทางส่วนใหญ่ใน. htaccess จะเปลี่ยนเส้นทางหน้าเว็บส่วนใหญ่ไปที่บ้านเมื่อเข้าถึงผ่าน http
ตัวอย่าง: http://www.mystore.com/productA.html => http://www.mystore.com/
แทนhttps://www.mystore.com/productA.html
ฉันแก้ไขด้วยการเขียน. htaccess ต่อไปนี้ (แน่นอนว่า Apache เท่านั้น):
#Force SSL
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]