在Nginx中，如何在维护子域的同时将所有http请求重写为https？

server {
    listen      80;

    location / {
      rewrite     ^(.*)   https://mysite.com permanent;
    }
...

#1 楼

在新版本的Nginx中正确的方法

我对这个问题的第一个答案在某些时候是正确的，但它又变成了另一个陷阱-要保持最新状态，请检查对重写陷阱进行计税

许多SE用户已对我进行了更正，因此值得他们赞扬，但更重要的是，这里是正确的代码：

server {
       listen         80;
       server_name    my.domain.com;
       return         301 https://$server_name$request_uri;
}

server {
       listen         443 ssl;
       server_name    my.domain.com;
       # add Strict-Transport-Security to prevent man in the middle attacks
       add_header Strict-Transport-Security "max-age=31536000" always; 

       [....]
}

#2 楼

注意：最佳方法是由https://serverfault.com/a/401632/3641提供的-但在此重复：

server {
    listen         80;
    return 301 https://$host$request_uri;
}

如果您的主机将固定为您要发送给您的服务-这将执行301重定向到浏览器，并且浏览器URL将相应更新。

以下是上一个答案，即由于regex效率低下，因此@kmindi

显示了一个简单的301很好。我一直在使用nginx 0.8.39及更高版本，并使用以下代码：

 server {
       listen 80;
       rewrite ^(.*) https://$host permanent;
 }

发送永久重定向到客户端。

#3 楼

我认为最好和唯一的方法应该是使用HTTP 301移动永久重定向，如下所示：

server {
    listen         [::]:80;
    return 301 https://$host$request_uri;
}

HTTP 301移动永久重定向也是最有效的，因为存在根据已经提到的pitfails，没有要评估的正则表达式。


新移动的HTTP 308永久保留了Request方法，并且受到主要浏览器的支持。例如，使用308可以防止浏览器将重定向请求的请求方法从POST更改为GET。


如果要保留主机名和子域，则是这样。 >
如果您没有DNS，它仍然可以正常工作，因为我也在本地使用它。

我在主机上使用http://192.168.0.100/index.php，因为我将https://192.168.0.100/index.php设置为listen [::]:80，因此它也绑定到ipv4套接字。如果您不想使用IPv6或将其绑定到其他地方，请将其更改为bindv6only。

Saif Bechan的解决方案使用false，在我的情况下为localhost，但无法通过网络访问。

Michael Neale的解决方案很好，但是根据pitfails的说法，重定向301是一个更好的解决方案;）

#4 楼

在服务器块内，您还可以执行以下操作：

# Force HTTPS connection. This rules is domain agnostic
if ($scheme != "https") {
    rewrite ^ https://$host$uri permanent;
}

#5 楼

上面的方法不适用于始终创建新的子域的情况。
例如AAA.example.com BBB.example.com约有30个子域。

最后得到了可与以下内容一起使用的配置：

server {
  listen 80;
  server_name _;
  rewrite ^ https://$host$request_uri? permanent;
}
server {
  listen  443;
  server_name example.com;
  ssl on;
  ssl_certificate /etc/ssl/certs/myssl.crt;
  ssl_certificate_key /etc/ssl/private/myssl.key;
  ssl_prefer_server_ciphers       on;
# ...
# rest of config here
# ...
}

#6 楼

很久很久以前，我就正确答案发表了评论，但有一个非常重要的更正，但我觉得有必要在自己的答案中突出此更正。如果您在任何时候都设置了不安全的HTTP并期望用户内容，具有表单，托管API或已配置了任何网站，工具，应用程序或实用程序来与您的站点对话，则上述任何答案都不能安全使用。 br />
对服务器发出POST请求时，会发生问题。如果服务器使用简单的30x重定向响应，则POST内容将丢失。发生的情况是浏览器/客户端将请求升级到SSL，但将POST降级为GET请求。 POST参数将丢失，并且将向您的服务器发出错误的请求。

解决方案很简单。您需要使用HTTP 1.1 307重定向。 RFC 7231 S6.4.7中对此进行了详细说明： br />

  Note: This status code is similar to 302 (Found), except that it
  does not allow changing the request method from POST to GET.  This
  specification defines no equivalent counterpart for 301 (Moved
  Permanently) ([RFC7238], however, defines the status code 308
  (Permanent Redirect) for this purpose).

#7 楼

我设法做到了：

server {
listen 80;
listen 443 ssl;

server_name domain.tld www.domain.tld;

# global HTTP handler
if ($scheme = http) {
        return 301 https://www.domain.tld$request_uri;
}

# global non-WWW HTTPS handler
if ($http_host = domain.tld){
        return 303 https://www.domain.tld$request_uri;
}
}

https://stackoverflow.com/a/36777526/6076984

#8 楼

我在AWS ELB后面运行ngnix。 ELB正在通过http与ngnix交谈。由于ELB无法将重定向发送到客户端，因此我检查了X-Forwarded-Proto标头并重定向：

if ($http_x_forwarded_proto != 'https') {
    return 301 "https://www.exampl.com";
}

#9 楼

如果将return 301 https://$host$request_uri;作为端口80上的默认响应，则您的服务器可能迟早会出现在打开代理列表中[1]，并开始被滥用以将流量发送到Internet上的其他地方。如果您的日志中充满了类似这样的消息，那么您知道它发生了：

42.232.104.114 - - [25/Mar/2018:04:50:49 +0000] "GET http://www.ioffer.com/i/new-fashion-fine-gold-bracelet-versaec-bracelet-641175733 HTTP/1.1" 301 185 "http://www.ioffer.com/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; Hotbar 4.1.8.0; RogueCleaner; Alexa Toolbar)"

问题是$host会回显浏览器发送的任何内容Host标头，甚至是HTTP开头行中的主机名，例如： $server_name总是求值到$host声明中的内容。但是，如果您在那里有多个子域或使用通配符，则将不起作用，因为$server_name仅使用server_name声明之后的第一个条目，更重要的是，仅回显通配符（而不扩展它）。 br />那么如何在保持安全性的同时支持多个域呢？在我自己的系统上，我首先通过列出了不使用$server_name的server_name块，然后列出了一个不使用default_server的通配符块来解决这个难题：

GET http://www.ioffer.com/i/new-fashion-fine-gold-bracelet-versaec-bracelet-641175733 HTTP/1.1

（您也可以在第二个块中列出多个域。）

通过这种组合，不匹配的域将被重定向到经过硬编码的位置（始终为$host），而与您自己的域匹配的域将转到右侧地点。您的服务器将无法用作开放代理，因此不会引起麻烦。

如果您感到讨厌，我想您也可以使example.com块与您的合法域都不匹配并发动进攻。 。 。 。

[1]从技术上讲，“ proxy”是一个错误的词，因为您的服务器不会关闭并满足客户端的请求，只是发送重定向，但我不确定哪个词是正确的。我也不确定目标是什么，但是它会充满噪音并消耗您的CPU和带宽，因此您最好停止它。

#10 楼

rewrite ^!https https://$host$request_uri permanent;

#11 楼

似乎没人真的100％正确地做到了。要使端口80的请求到达整个Web服务器的443个等效端口，您需要使用listen指令，而不是server_name指令来指定全部捕获名称。另请参阅https://nginx.org/en/docs/http/request_processing.html

server {
    listen 80 default;
    listen [::]:80 default;
      return 307 https://$host$request_uri;
}

$ host捕获子域名。
307和308都包含POST和GET请求URI。
307是临时的，经过全面测试后更改为永久308：

并确保检查/ etc / nginx / conf中已经存在的内容。 .d /，因为我经常会遇到default.conf返回一些现有虚拟主机的问题。我处理nginx问题的顺序始终是从移出默认文件开始，然后将其逐行注释掉，以查看出错的地方。