¿Cómo hacer python en https de Heroku solamente?

Question

Tengo la aplicación python/django en Heroku (pila Cedar) y me gustaría hacerla accesible solo a través de https. He habilitado la opción "ssl piggyback" y puedo conectarme a ella a través de https.

¿Pero cuál es la mejor manera de deshabilitar el acceso http, o redirigir a https?

Answer 1

Combinando la respuesta de @CraigKerstiens y @allanlei en algo que he probado y verificado para que funcione. Heroku establece el HTTP_X_FORWARDED_PROTO a https cuando la solicitud es ssl, y podemos utilizar esto para comprobar:

from django.conf import settings 
from django.http import HttpResponseRedirect 


class SSLMiddleware(object): 

    def process_request(self, request): 
     if not any([settings.DEBUG, request.is_secure(), request.META.get("HTTP_X_FORWARDED_PROTO", "") == 'https']): 
      url = request.build_absolute_uri(request.get_full_path()) 
      secure_url = url.replace("http://", "https://") 
      return HttpResponseRedirect(secure_url) 

Answer 2

¿Qué marco está utilizando para su aplicación? Si está utilizando Django se podía utilización sencilla algunos middleware similar a:

import re 

from django.conf import settings 
from django.core import urlresolvers 
from django.http import HttpResponse, HttpResponseRedirect 


class SSLMiddleware(object): 

    def process_request(self, request): 
     if not any([settings.DEBUG, request.is_secure()]): 
      url = request.build_absolute_uri(request.get_full_path()) 
      secure_url = url.replace("http://", "https://") 
      return HttpResponseRedirect(secure_url) 

Answer 3

No estoy seguro si la respuesta @ CraigKerstiens tiene en cuenta que request.is_secure() siempre devuelve False si detrás de proxy inverso de Heroku y no "fija". Si recuerdo correctamente, esto causará un bucle de redirección HTTP.

Si está ejecutando Django con gunicorn, otra manera de hacerlo es añadir lo siguiente al de gunicorn config

secure_scheme_headers = { 
    'X-FORWARDED-PROTO': 'https' 
} 

Ejecutar con un poco como esto en su Procfile

web: python manage.py run_gunicorn -b 0.0.0.0:$PORT -c config/gunicorn.conf 

Mediante el establecimiento de gunicorn secure-scheme-header, request.is_secure() devolverá correctamente True en las solicitudes https. Ver Gunicorn Config.

Ahora el middleware de @ CraigKerstiens funcionará correctamente, incluidas las llamadas al request.is_secure() en su aplicación.

Nota: Django también tiene la misma configuración de configuración llamada SECURE_PROXY_SSL_HEADER, pero está en la versión dev.

Answer 4

Si está utilizando el frasco, esto funciona bastante bien:

1) No "PIP instalación flask- sslify"

(gitHub está aquí: https://github.com/kennethreitz/flask-sslify)

2) se incluyen las siguientes líneas:

from flask_sslify import SSLify 
if 'DYNO' in os.environ: # only trigger SSLify if the app is running on Heroku 
    sslify = SSLify(app) 

Answer 5

Django 1.8 tendrá soporte de núcleo para no HTTPS redirect (integrado de django-secure):

SECURE_SSL_REDIRECT = True # [1] 
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https') 

Para que SECURE_SSL_REDIRECT para ser manipulados usted tiene que utilizar la SecurityMiddleware:

MIDDLEWARE = [ 
    ... 
    'django.middleware.security.SecurityMiddleware', 
] 

[1] https://docs.djangoproject.com/en/1.8/ref/settings/#secure-ssl-redirect