Как перенаправить страницу на https в php?

Question

У меня есть регистрационная форма:

<form method =POST action="/login.php"> 
... 
</form> 

Я хотел бы login.php страницы для перенаправления с помощью https.

Я не хочу отправлять пользователя в https://.../login.php, потому что они могут изменить ссылку. но я хочу сделать переадресацию на стороне сервера, прежде чем я разобрать данные формы Войти и входа пользователя в

я нашел и пример:.

if($_SERVER["HTTPS"] != "on") { 
    header("HTTP/1.1 301 Moved Permanently"); 
    header("Location: "https://" . $_SERVER["SERVER_NAME"] . $_SERVER["REQUEST_URI"]); 
    exit(); 
} 

, но я не $_SERVER["HTTPS"] если я var_dump($_SERVER);

я есть $_SERVER['SERVER_PORT'] ведьма 80.

какие-либо идеи?

Благодаря

Answer 1

Если вы позволяете им отправлять сообщения /login.php через обычный HTTP, а затем перенаправить на HTTPS, вы победите цель использования HTTPS, поскольку информация Логин уже отправлена ​​в текстовом формате через Интернет ,

Что вы можете сделать, чтобы пользователь не мог изменить URL-адрес, делает так, чтобы страница входа в систему отклонила логин, если он не превышает HTTPS.

Что я использую для проверки использования HTTPS заключается в следующем:

if (!isset($_SERVER['HTTPS']) || !$_SERVER['HTTPS']) { 
    // request is not using SSL, redirect to https, or fail 
} 

Если вы используете свой защищенный сервер на порту по умолчанию 443, то вы можете также проверить, чтобы убедиться, что это порт, но PHP устанавливает значение $_SERVER['HTTPS'] непустым, если используется SSL, поэтому я бы проверял наличие этого для лучшей практики.

EDIT:

Если пользователь так включен вручную изменить протокол HTTPS на HTTP и хочет отправить их информацию по открытому тексту, нет, что вы можете сделать, чтобы остановить их, но если вы запретить вход через HTTP, поэтому даже правильная информация не будет регистрировать их, вы можете заставить их использовать https, делая это единственное, что работает.

Answer 2

Независимо от страницы, которую вы используете для отображения вашей формы Войти уже должны использовать https://перед тем форма заполнена, а затем он должен быть представлен в другой https:// адрес. В противном случае вы оставите форму открытой для атаки.

Вы можете посмотреть в mod_rewrite, чтобы автоматически перенаправить любой запрос, используя http:// в https://, по крайней мере, для вашей страницы входа.

Answer 3

Предполагая, что ваша страница с формой входа в систему генерируется index.php, вам необходимо указать пример кода для перенаправления HTTP на HTTPS в index.php. Это гарантирует, что когда пользователь заполнит форму и отправит ее, она будет отправлена ​​в /login.php через HTTPS, а не HTTP.

Положив эту проверку внутри login.php бесполезно, потому что к тому времени login.php получает запрос и пытается перенаправить на соответствующий HTTPS URL, а учетные данные уже были представлены в нем в качестве открытого текста, который является то, что вы должны хотеть, чтобы избежать.

Наблюдение, что вы видите $_SERVER['SERVER_PORT'] быть 80 и $_SERVER["HTTPS"] быть не установлен, когда вы положили чек внутри login.php является еще одним доказательством того, что учетные данные для входа в настоящее время представляются ему через HTTP и, таким образом, учетные данные для входа достигают ваш сервер от клиента незашифрован. Этого следует избегать, следуя тому, что я сказал в первом абзаце этого ответа.

BTW, я бы не использовал PHP для такого перенаправления. Такие перенаправления очень удобно обрабатываются mod_rewrite в Apache HTTPD.

Пример, при условии, что ваша страница Логин доступен на URL, http://example.com/foo/:

RewriteEngine On 
RewriteCond %{HTTPS} off 
RewriteRule ^foo/$ https://%{HTTP_HOST}%{REQUEST_URI} [R,L] 

Answer 4

if($requireSSL && $_SERVER['SERVER_PORT'] != 443) { 
    header("HTTP/1.1 301 Moved Permanently"); 
    header("Location: https://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']); 
    exit(); 
}