Heroku NodeJS http на https ssl принудительное перенаправление

У меня есть приложение, работающее на heroku с экспрессом на узле с https. Как мне определить протокол для принудительного перенаправления на https с помощью nodejs на heroku?

Мое приложение - это простой http-сервер, он (пока) не понимает, что heroku отправляет ему https-запросы:

/* Heroku provides the port they want you on in this environment variable (hint: it's not 80) */
app.listen(process.env.PORT || 3000);

На сегодняшний день, 10 октября 2014 г. , с использованием стека Heroku Cedar и ExpressJS ~ 3.4.4 , вот рабочий набор кода.

Главное, что нужно помнить, это то, что мы развертываем на Heroku. Прекращение действия SSL происходит на балансировщике нагрузки, прежде чем зашифрованный трафик достигнет вашего приложения узла. Можно проверить, использовался ли https для выполнения запроса с помощью req.headers ['x-forwarded-proto'] === 'https' .

Нам не нужно беспокоиться о наличии локальных SSL-сертификатов внутри приложения и т. Д., Как если бы вы размещали в других средах. Однако вы должны сначала получить надстройку SSL, применяемую через надстройки Heroku, если используете свой собственный сертификат, поддомены и т. Д.

Затем просто добавьте следующее, чтобы выполнить перенаправление с чего-либо, кроме HTTPS, на HTTPS. Это очень близко к принятому выше ответу, но:

1. Гарантирует, что вы используете app.use (для всех действий, а не только для получения)
2. Явно переносит логику forceSsl в объявленную функцию
3. Не использует "*" с "app.use" - это действительно не удалось, когда я его тестировал.
4. Здесь мне нужен только SSL в производстве. (Измените по своему усмотрению)

Код:

 var express = require('express'),
   env = process.env.NODE_ENV || 'development';

 var forceSsl = function (req, res, next) {
    if (req.headers['x-forwarded-proto'] !== 'https') {
        return res.redirect(['https://', req.get('Host'), req.url].join(''));
    }
    return next();
 };

 app.configure(function () {

    if (env === 'production') {
        app.use(forceSsl);
    }

    // other configurations etc for express go here...
}

Примечание для пользователей SailsJS (0.10.x). Вы можете просто создать политику (enforceSsl.js) внутри api / policy:

module.exports = function (req, res, next) {
  'use strict';
  if ((req.headers['x-forwarded-proto'] !== 'https') && (process.env.NODE_ENV === 'production')) {
    return res.redirect([
      'https://',
      req.get('Host'),
      req.url
    ].join(''));
  } else {
    next();
  }
};

Затем обратитесь к config / policy.js вместе с любыми другими политиками, например:

'*': ['аутентифицирован', 'enforceSsl']

Ответ - использовать заголовок «x-forwarded-proto», который Heroku передает вперед, как это делает его прокси-объект. (примечание: они также передают несколько других x-переменных, которые могут быть удобными, проверьте их ).

Мой код:

/* At the top, with other redirect methods before other routes */
app.get('*',function(req,res,next){
  if(req.headers['x-forwarded-proto']!='https')
    res.redirect('https://mypreferreddomain.com'+req.url)
  else
    next() /* Continue to other routes if we're not redirecting */
})

Спасибо, Брэндон, просто ждал 6-часовой задержки, которая не позволила мне ответить на мой собственный вопрос.

В принятом ответе есть жестко запрограммированный домен, что не очень хорошо, если у вас есть один и тот же код на нескольких доменах (например, dev-yourapp.com, test-yourapp.com, yourapp.com).

Используйте вместо этого:

/* Redirect http to https */
app.get('*', function(req,res,next) {
  if(req.headers['x-forwarded-proto'] != 'https' && process.env.NODE_ENV === 'production')
    res.redirect('https://'+req.hostname+req.url)
  else
    next() /* Continue to other routes if we're not redirecting */
});

https://blog.mako.ai/2016/03/30/redirect-http-to-https-on-heroku-and-node-generally/

Я написал небольшой модуль узла, который применяет SSL в экспресс-проектах. Работает как в стандартных ситуациях, так и в случае обратных прокси (Heroku, nodejitsu и др.)

https://github.com/florianheinemann/express-sslify

Если вы хотите протестировать x-forwarded-protoзаголовок на своем локальном хосте, вы можете использовать nginx для настройки файла vhost, который проксирует все запросы к вашему приложению node. Ваш файл конфигурации nginx vhost может выглядеть так

NginX

server {
  listen 80;
  listen 443;

  server_name dummy.com;

  ssl on;
  ssl_certificate     /absolute/path/to/public.pem;
  ssl_certificate_key /absolute/path/to/private.pem;

  access_log /var/log/nginx/dummy-access.log;
  error_log /var/log/nginx/dummy-error.log debug;

  # node
  location / {
    proxy_pass http://127.0.0.1:3000/;
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
  }
}

Важным моментом здесь является то, что вы проксируете все запросы на порт 3000 localhost (именно здесь работает ваше приложение узла) и настраиваете кучу заголовков, включая X-Forwarded-Proto

Затем в вашем приложении определите этот заголовок как обычно

Экспресс

var app = express()
  .use(function (req, res, next) {
    if (req.header('x-forwarded-proto') == 'http') {
      res.redirect(301, 'https://' + 'dummy.com' + req.url)
      return
    }
    next()
  })

Коа

var app = koa()
app.use(function* (next) {
  if (this.request.headers['x-forwarded-proto'] == 'http') {
    this.response.redirect('https://' + 'dummy.com' + this.request.url)
    return
  }
  yield next
})

Хосты

Наконец, вам нужно добавить эту строку в свой hostsфайл

127.0.0.1 dummy.com

Вам следует взглянуть на heroku-ssl-redirect . Работает как часы!

var sslRedirect = require('heroku-ssl-redirect');
var express = require('express');
var app = express();

// enable ssl redirect
app.use(sslRedirect());

app.get('/', function(req, res){
  res.send('hello world');
});

app.listen(3000);

Если вы используете cloudflare.com в качестве CDN в сочетании с heroku, вы можете легко включить автоматическое перенаправление ssl в cloudflare следующим образом:

1. Войдите и перейдите в личный кабинет

2. Выберите правила страницы

   

3. Добавьте свой домен, например www.example.com, и включите всегда использовать https.

Пользователи Loopback могут использовать слегка адаптированную версию ответа arcseldon в качестве промежуточного программного обеспечения:

сервер / промежуточное ПО / forcessl.js

module.exports = function() {  
  return function forceSSL(req, res, next) {
    var FORCE_HTTPS = process.env.FORCE_HTTPS || false;
      if (req.headers['x-forwarded-proto'] !== 'https' && FORCE_HTTPS) {
        return res.redirect(['https://', req.get('Host'), req.url].join(''));
      }
      next();
    };
 };

сервер / server.js

var forceSSL = require('./middleware/forcessl.js');
app.use(forceSSL());

Это более конкретный способ Express.

app.enable('trust proxy');
app.use('*', (req, res, next) => {
  if (req.secure) {
    return next();
  }
  res.redirect(`https://${req.hostname}${req.url}`);
});

app.all('*',function(req,res,next){
  if(req.headers['x-forwarded-proto']!='https') {
    res.redirect(`https://${req.get('host')}`+req.url);
  } else {
    next(); /* Continue to other routes if we're not redirecting */
  }
});

С app.use и динамическим URL. Работает как локально, так и на Heroku у меня

app.use(function (req, res, next) {
  if (req.header('x-forwarded-proto') === 'http') {
    res.redirect(301, 'https://' + req.hostname + req.url);
    return
  }
  next()
});

Проверка протокола в заголовке X-Forwarded-Proto отлично работает на Heroku, как и указал Дерек. Как бы то ни было, вот суть промежуточного программного обеспечения Express, которое я использую, и его соответствующий тест.