Node.js后端是否需要仅允许HTTPS访问？怎么实现HTTP重定向HTTPS？

配置安全性判断 #

同时支持HTTP和HTTPS的配置属于不安全配置：

• HTTP为明文传输协议，所有通过HTTP发起的请求内容（包括接口参数、身份凭证、Cookie等）都可以被中间人窃听、篡改，即使请求来自Postman等工具，也存在数据泄露、接口被恶意利用的风险
• 未做强制跳转的情况下，攻击者可利用HTTP接口发起CSRF、未授权访问等攻击，扩大服务面风险

是否需要强制转换所有HTTP请求为HTTPS #

需要，强制HTTPS是Web服务的基础安全要求：

• 彻底避免明文传输带来的各类风险
• 符合浏览器、搜索引擎对站点的安全规范要求，避免被标为不安全站点或降权
• 满足等保、数据安全合规的基础要求

现有重定向方案的漏洞原因 #

你使用的x-forwarded-proto判断逻辑本身是为Node服务部署在反向代理（Nginx/CDN等）后的场景设计的，该请求头默认可以被客户端任意伪造，直接暴露Node服务公网访问时，就会出现你遇到的伪造头绕过重定向的问题。

最佳实现方案 #

分两种部署场景选择对应方案：

场景1：Node服务直接对外暴露公网 #

直接通过req.secure属性判断请求协议，该属性由Node原生TLS模块生成，无法被客户端伪造：

if (process.env.NODE_ENV === 'production') {
  app.use((req, res, next) => {
    if (!req.secure) {
      // 301为永久重定向，会被浏览器缓存，降低后续重复跳转的性能损耗
      return res.redirect(301, `https://${req.headers.host}${req.url}`)
    }
    next()
  })
}

如果不需要兼容用户手动输入HTTP地址的场景，可以直接关闭HTTP端口的监听，仅保留HTTPS端口，从根源上杜绝HTTP请求的可能性，安全性更高。

场景2：Node服务前部署了反向代理（Nginx/CDN等） #

需要同时配置代理和Node服务，避免请求头伪造：

1. 先在Node服务中配置信任代理，仅认可反向代理传递的x-forwarded-*头：

// 单层级代理填1，多层代理填对应层数，也可直接填写信任的代理IP段
app.set('trust proxy', 1)

2. 在反向代理中配置清除客户端传递的x-forwarded-proto头，仅保留代理自身生成的头：
   以Nginx为例，配置如下：

# 强制覆盖X-Forwarded-Proto头，清除客户端伪造的内容
proxy_set_header X-Forwarded-Proto $scheme;

3. 再使用你原本的重定向逻辑即可，不会再出现伪造绕过的问题。

额外安全加固 #

新增HSTS响应头，告知浏览器本地永久强制使用HTTPS访问该站点，就算用户手动输入HTTP地址，也不会发送HTTP请求到服务端：

app.use((req, res, next) => {
  // max-age单位为秒，31536000对应1年有效期
  res.setHeader('Strict-Transport-Security', 'max-age=31536000; includeSubDomains')
  next()
})

内容的提问来源于stack exchange，提问作者John Stuart