Làm thế nào để làm cho python trên Heroku https chỉ?

Question

Tôi có ứng dụng python/django trên Heroku (ngăn xếp Cedar) và muốn làm cho ứng dụng có thể truy cập chỉ qua https. Tôi đã kích hoạt "ssl piggyback" -option, và có thể kết nối với nó thông qua https.

Nhưng cách tốt nhất để vô hiệu hóa quyền truy cập http hoặc chuyển hướng đến https là gì?

Answer 1

Kết hợp câu trả lời từ @CraigKerstiens và @allanlei vào nội dung tôi đã thử nghiệm và xác minh để hoạt động. Heroku đặt HTTP_X_FORWARDED_PROTO https khi yêu cầu là ssl, và chúng ta có thể sử dụng để kiểm tra:

from django.conf import settings 
from django.http import HttpResponseRedirect 


class SSLMiddleware(object): 

    def process_request(self, request): 
     if not any([settings.DEBUG, request.is_secure(), request.META.get("HTTP_X_FORWARDED_PROTO", "") == 'https']): 
      url = request.build_absolute_uri(request.get_full_path()) 
      secure_url = url.replace("http://", "https://") 
      return HttpResponseRedirect(secure_url) 

Answer 2

Bạn đang sử dụng khung làm gì cho ứng dụng của mình? Nếu bạn đang sử dụng Django bạn có thể sử dụng đơn giản một số trung gian tương tự như:

import re 

from django.conf import settings 
from django.core import urlresolvers 
from django.http import HttpResponse, HttpResponseRedirect 


class SSLMiddleware(object): 

    def process_request(self, request): 
     if not any([settings.DEBUG, request.is_secure()]): 
      url = request.build_absolute_uri(request.get_full_path()) 
      secure_url = url.replace("http://", "https://") 
      return HttpResponseRedirect(secure_url) 

Answer 3

Không chắc chắn nếu @ CraigKerstiens của câu trả lời sẽ đưa vào tài khoản đó request.is_secure() luôn trả False nếu đằng sau reverse proxy Heroku và không phải là "cố định". Nếu tôi nhớ chính xác, điều này sẽ gây ra một vòng lặp chuyển hướng HTTP.

Nếu bạn đang chạy Django với gunicorn, một cách khác để làm điều đó là để thêm dòng sau vào gunicorn của cấu hình

secure_scheme_headers = { 
    'X-FORWARDED-PROTO': 'https' 
} 

Chạy với một số như thế này trong Procfile

web: python manage.py run_gunicorn -b 0.0.0.0:$PORT -c config/gunicorn.conf 

của bạn Bằng cách đặt của gunicorn secure-scheme-header, request.is_secure() sẽ trả lại đúng số True cho các yêu cầu https. Xem Gunicorn Config.

Bây giờ phần mềm trung gian của @ CraigKerstiens sẽ hoạt động bình thường, bao gồm mọi cuộc gọi đến request.is_secure() trong ứng dụng của bạn.

Lưu ý: Django cũng có cùng cài đặt cấu hình gọi SECURE_PROXY_SSL_HEADER, nhưng trong phiên bản dev.

Answer 4

Nếu bạn đang sử dụng Flask, điều này hoạt động khá tốt:

1) Đừng "PIP cài đặt flask- sslify"

(github là ở đây: https://github.com/kennethreitz/flask-sslify)

2) Bao gồm các dòng sau:

from flask_sslify import SSLify 
if 'DYNO' in os.environ: # only trigger SSLify if the app is running on Heroku 
    sslify = SSLify(app) 

Answer 5

Django 1.8 sẽ có hỗ trợ cốt lõi cho phi HTTPS chuyển hướng (tích hợp từ django-secure):

SECURE_SSL_REDIRECT = True # [1] 
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https') 

Để SECURE_SSL_REDIRECT được xử lý, bạn phải sử dụng SecurityMiddleware:

MIDDLEWARE = [ 
    ... 
    'django.middleware.security.SecurityMiddleware', 
] 

[1] https://docs.djangoproject.com/en/1.8/ref/settings/#secure-ssl-redirect