在Azure上保护.NET Core API - 仍然接受设置了RequireHttpsAttribute的HTTP

Question

我使用POSTMAN（https://www.getpostman.com/）来测试部署到Azure的API（使用* .azurewebsites.net SSL证书）。 API是标准的MVC .NET Core API。

基于Pluralsight教程（https://www.pluralsight.com/courses/aspdotnetcore-implementing-securing-api），我在startup.cs中添加了RequireHttpsAttribute选项，如上所述。

services.AddMvc( opt => opt.Filters.Add(new RequireHttpsAttribute()) )

然而，当使用POSTMAN的HTTP（不是HTTPS）时，我仍然会收到响应数据。

有什么想法我可能在这里做错了吗？

谢谢。

Answer 1

您是否在App Service中托管？如果是这样，前端之外没有HTTPS。

检查是否存在X-ARR-SSL标题 请参阅：https://stackoverflow.com/a/38726543/4148708