ASP.NET MVC - HTML.BeginForm i SSL

Question

ja napotykają problem z tym, co powinno być prosty formularz logowania w ASP.NET MVC 2. Zasadniczo moja forma wygląda trochę coś takiego:

using (Html.BeginForm("LogOn", "Account", new { area = "Buyers" }, FormMethod.Post, new { ID = "buyersLogOnForm" })) 

mam filtr RequiresHTTPS na metody logowania działania, ale kiedy wykonuje I pojawia się następujący komunikat

Żądany zasób można dostępne tylko za pośrednictwem protokołu SSL

W tym momencie jedynym rozwiązaniem, które działało było przejść na dodatkowym htmlattribute działania w następujący sposób:

var actionURL = "https://" + Request.Url.Host + Request.Url.PathAndQuery; 
using (Html.BeginForm("LogOn", "Account", new { area = "Buyers" }, FormMethod.Post, new { ID = "buyersLogOnForm", @action = actionURL })) 

Chociaż to działa Zastanawiam a) dlaczego widzę ten problem w pierwszej kolejności oraz b) jeśli istnieje jest prostszy sposób publikowania w https ze strony http?

[Edytuj]

powinienem stwierdził, że rozwijana logowania będą dostępne na wielu stronach publicznych. Nie chcę, aby wszystkie moje strony były HTTPS. Na przykład moja strona nadziei - którą KAŻDY może zobaczyć - nie powinna być oparta na HTTPS. Zasadniczo muszę podać protokół w mojej formie, ale nie mam pojęcia, jak to zrobić, lub jeśli jest to możliwe.

Byłbym wdzięczny za wszelkie porady/sugestie. góry dzięki

JP

Answer 1

Można użyć

<form action =" <%= Url.Action(
"action", 
"controller", 
ViewContext.RouteData.Values, 
"https" 
) %>" method="post" > 

Answer 2

użyć atrybutu [RequireHttps] zarówno na działania, które sprawia, że ​​formy i jeden Piszesz do.

Answer 3

Aktualizacja: Przejrzyj poniższe komentarze na temat luk w zabezpieczeniach tego podejścia przed rozważeniem korzystania z tego kodu.

Okazało się, że hybrydowe przykłady kodu JP i Malcolma działały.

using (Html.BeginForm("Login", "Account", FormMethod.Post, new { @action = Url.Action("Login","Account",ViewContext.RouteData.Values,"https") })) 

Mimo to, wciąż czułem się trochę bezczelny, więc stworzyłem niestandardowego pomocnika BeginForm. Niestandardowy helper jest czystszy i nie wymaga protokołu HTTPS podczas działania lokalnie.

public static MvcForm BeginFormHttps(this HtmlHelper htmlHelper, string actionName, string controllerName) 
    { 
     TagBuilder form = new TagBuilder("form"); 
     UrlHelper Url = new UrlHelper(htmlHelper.ViewContext.RequestContext); 

     //convert to https when deployed 
     string protocol = htmlHelper.ViewContext.HttpContext.Request.IsLocal == true? "http" : "https"; 

     string formAction = Url.Action(actionName,controllerName,htmlHelper.ViewContext.RouteData.Values,protocol); 
     form.MergeAttribute("action", formAction); 

     FormMethod method = FormMethod.Post; 
     form.MergeAttribute("method", HtmlHelper.GetFormMethodString(method), true); 

     htmlHelper.ViewContext.Writer.Write(form.ToString(TagRenderMode.StartTag)); 

     MvcForm mvcForm = new MvcForm(htmlHelper.ViewContext); 

     return mvcForm; 
    } 

Przykład użycia:

@using (Html.BeginFormHttps("Login", "Account"))