ย้อนกลับพร็อกซีและเติมข้อความอัตโนมัติด้วยเนื้อหาแบบผสม

ฉันมีการกำหนดค่า apache ด้วยพร็อกซีย้อนกลับ (IP ของเซิร์ฟเวอร์นี้: 192.168.1.82) เพื่อจัดการเซิร์ฟเวอร์ D9 ใหม่ของฉัน:

192.168.1.82 : 443 ถูกส่งไปยัง 192.168.1.87 เป็น HTTP(80)

<VirtualHost *:443>
    ServerName www.mydomain.be
    ServerAlias mydomain.be
    NameVirtualHost www.mydomain.be

    ProxyPreserveHost On
    ProxyPass / http://192.168.1.87:80/
    ProxyPassReverse / http://192.168.1.87/
    SSLProxyCheckPeerCN Off
    SSLProxyCheckPeerName Off
    SSLProxyVerify none
    ...
</VirtualHost>

ฉันคิดว่ามันเรียกว่าการยุติ SSL

192.168.1.82 : 80 ถูกเปลี่ยนเส้นทางเป็น https (443)

<VirtualHost *:80>
    ServerName www.mydomain.be
    Redirect permanent / https://www.mydomain.be/
</VirtualHost>

192.168.1.87 : การตั้งค่า.php

$settings['reverse_proxy'] = จริง;
$settings['reverse_proxy_addresses'] = [
  '192.168.1.82',
];
$_SERVER['HTTPS'] = 'เปิด';
$settings['ssl'] = จริง;

น่าเสียดายที่ฟีเจอร์เติมข้อความอัตโนมัติของฟิลด์อ้างอิงเอนทิตีร้องขอจุดสิ้นสุดที่ไม่ใช่ https (ไม่ปลอดภัย) (เนื้อหาแบบผสม):

http://www.mydomain.be/fr/entity_reference_autocomplete/node/default:node/3veI...I?q=t

ฉันจะทำอย่างไรเพื่อบังคับ https... ฉันจะยอมรับการแฮ็กที่น่าเกลียดที่สุดหากมันได้ผล (ใช่ ฉันอยู่นี่)

การทดสอบ 1: ProxyPass https แทน http [ใช้ไม่ได้ ดูด้านล่าง]

ฉันได้ปรับโฮสต์เสมือน 82 รายการดังต่อไปนี้

SSLProxyEngine เปิดอยู่
พร็อกซีพาส / https://192.168.1.87/
ProxyPassReverse / https://192.168.1.87/

=>คราวนี้ฉันไม่มีปัญหาเรื่องเนื้อหาผสม แต่ฉันมี ERR_TOO_MANY_REDIRECTS อีกครั้งสำหรับจุดสิ้นสุดการเติมข้อความอัตโนมัติของเอนทิตีนี้

การทดสอบ 2: แฮ็ค Symfony\Component\HttpFoundation\Request::isSecure()

นี่คือฟังก์ชัน isSecure() ใหม่ของฉัน:

ฟังก์ชั่นสาธารณะ isSecure(){
  กลับ TRUE;
}

เมื่อทำสิ่งนี้ URL ที่เติมข้อความอัตโนมัติจะใช้ https แต่คราวนี้ฉันได้ ERR_TOO_MANY_REDIRECTS

รับ https://www.mydomain.be/fr/entity_reference_autocomplete/node/default%3Anode/3ve...I?q=T net::ERR_TOO_MANY_REDIRECTS

ฉันไม่รู้จริงๆว่ามันมาจากไหน

ไฟล์ htaccess ใน Drupal ควรบังคับให้ทราฟฟิกทั้งหมดเป็น HTTPS มีความคิดเห็นบางอย่างในไฟล์ แต่สิ่งนี้ควรใช้งานได้ (ใช้ในหลายโครงการ):

  # บังคับให้การรับส่งข้อมูลทั้งหมดเป็น HTTPS ยกเว้นอินสแตนซ์ในเครื่อง
  RewriteCond ลด %{HTTPS}
  RewriteCond %{HTTP:X-Forwarded-Proto} !https
  RewriteCond %{HTTP_HOST} !^local\.dev\.domain$ [NC]
  RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]




  # แก้ไข RewriteBase หากคุณใช้ Drupal ในไดเร็กทอรีย่อยหรือใน
  # VirtualDocumentRoot และกฎการเขียนใหม่ทำงานไม่ถูกต้อง
  # ตัวอย่างเช่น หากไซต์ของคุณอยู่ที่ http://example.com/drupal uncomment และ
  # แก้ไขบรรทัดต่อไปนี้:
  # RewriteBase /drupal
  #
  # หากไซต์ของคุณทำงานใน VirtualDocumentRoot ที่ http://example.com/
  # ยกเลิกการแสดงความคิดเห็นบรรทัดต่อไปนี้:
  # RewriteBase /

บรรทัดที่สามเป็นทางเลือก - มันจะยกเว้นสภาพแวดล้อม dev ในเครื่องจากการเขียนใหม่ หากคุณใช้ SSL ภายในเครื่อง คุณสามารถละเว้นบรรทัดนั้นได้

หาก Apache ให้บริการคำขอทั้งหมด มันจะผ่านกฎเหล่านี้ ประเมินและเขียนใหม่

คุณสามารถทดสอบกฎได้ที่นี่: https://htaccess.madewithlove.com/

นี่คือการทดสอบ: https://htaccess.madewithlove.com?share=69ce1303-b1af-4041-aecf-a32f2ecd1bfb

ลองตั้งค่าส่วนหัว X-Forwarded-* ใน Apache reverse proxy:

<โฮสต์เสมือน *:443>
    ชื่อเซิร์ฟเวอร์ www.mydomain.be
    ServerAlias ​​mydomain.be
    NameVirtualHost www.mydomain.be

    ProxyPreserveHost เปิด
    พร็อกซีพาส / http://192.168.1.87:80/
    ProxyPassReverse / http://192.168.1.87/

    RequestHeader ตั้งค่า X-Forwarded-Proto "https"
    RequestHeader ตั้งค่า X-Forwarded-Port "443"

นี่คือส่วนหัวที่การกำหนดค่าพร็อกซีย้อนกลับใน settings.php ต้องการ

คุณสามารถตรวจสอบการมีอยู่ของส่วนหัวได้ที่ www.mydomain.be/admin/reports/status/php ในส่วน ข้อมูลส่วนหัว HTTP

ในการตั้งค่าดังกล่าวโดยใช้ส่วนหัว X-Forward-* เป็นวิธีการทั่วไปในการอนุญาตให้ Drupal สร้างลิงก์ที่สมบูรณ์ด้วยโปรโตคอลที่ถูกต้องเพื่อหลีกเลี่ยงข้อผิดพลาดของเนื้อหาผสม

อย่างไรก็ตาม หน้า Drupal สามารถสร้างได้อย่างสมบูรณ์ด้วยลิงก์สัมพัทธ์ และนี่คือวิธีการตั้งค่า Drupal แบบสำเร็จรูป รวมถึงช่องเติมข้อความอัตโนมัติหลัก คุณจึงตรวจสอบเส้นทางการเติมข้อความอัตโนมัติในรหัสร่วม/รหัสที่กำหนดเองและลบออกได้ แน่นอน ตัวเลือกที่จะทำให้พวกเขาสัมพันธ์กัน

กำลังเปลี่ยนเส้นทาง

เพื่อหลีกเลี่ยงการแสดงความคิดเห็นเพิ่มเติม Drupal จะไม่เปลี่ยนเส้นทางแบบสำเร็จรูปการเปลี่ยนเส้นทางไม่เกี่ยวข้องกับปัญหา เพียงแต่ทำให้แก้ไขจุดบกพร่องได้ยากขึ้นเท่านั้น เป็นไปไม่ได้ที่จะบอกได้จากระยะไกลว่าโค้ดใดที่คุณอาจนำไปใช้ซึ่งกำลังเปลี่ยนเส้นทาง อาจเป็นไปได้ว่าการเปลี่ยนเส้นทางยังคงแคชอยู่ การเปลี่ยนเส้นทางถาวรจะถูกแคชเป็นเวลาหลายสัปดาห์ แม้ว่าคุณจะลบรหัสเปลี่ยนเส้นทางไปแล้วก็ตาม