SSL重写仅部分生效：是web.config错误还是nopCommerce问题？

我之前在维护nopCommerce 2.60站点的时候，刚好碰到过和你一模一样的共享SSL配置问题——部署在IIS10、.NET4.6.2环境下，Web.config里的设置看似正确但就是不能完全生效。结合你的初始配置和场景，给你梳理下能解决问题的实操步骤：

一、先修正Web.config核心SSL配置 #

你的初始配置里，UseSSL=true、SharedSSLUrl=https://demo.site.com、NonSharedSSLUrl=http://demo.site.com这三个参数的逻辑是对的，但还得补充两个关键配置避免Cookie和模块问题：

1. 在<system.web>节点下添加Cookie安全配置，防止非SSL环境下Cookie泄露：

<httpCookies requireSSL="true" httpOnlyCookies="true" />

2. 确认<system.webServer>里的URL重写模块已启用（IIS10默认自带，但有时候会被意外移除）：

<modules runAllManagedModulesForAllRequests="true">
  <remove name="UrlRewriteModule" />
  <add name="UrlRewriteModule" type="System.Web.Rewrite.RewriteModule, System.Web.Rewrite, Version=2.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" />
</modules>

二、添加精准的URL重写规则 #

我当时试了好几种规则，下面这个是最稳定的，能精准区分需要强制SSL的敏感页面和走HTTP的普通页面。在<system.webServer>节点下添加重写规则：

<rewrite>
  <rules>
    <!-- 规则1：普通页面（非敏感）强制走HTTP的NonSharedSSLUrl -->
    <rule name="Redirect to Non-SSL" stopProcessing="true">
      <match url="^(?!admin|login|checkout|account|cart).*$" />
      <conditions>
        <add input="{HTTPS}" pattern="on" />
        <add input="{HTTP_HOST}" pattern="^demo\.site\.com$" />
      </conditions>
      <action type="Redirect" url="http://demo.site.com/{R:0}" redirectType="Permanent" />
    </rule>
    <!-- 规则2：敏感页面（登录、结算、后台等）强制走HTTPS的SharedSSLUrl -->
    <rule name="Redirect to SSL" stopProcessing="true">
      <match url="^(admin|login|checkout|account|cart).*$" />
      <conditions>
        <add input="{HTTPS}" pattern="off" />
      </conditions>
      <action type="Redirect" url="https://demo.site.com/{R:0}" redirectType="Permanent" />
    </rule>
  </rules>
</rewrite>

注：你可以根据自己站点的实际需求，调整<match url>里的路径，比如加上需要SSL的其他页面路径。

三、IIS站点绑定的关键检查 #

1. 确保你的IIS站点同时绑定了80端口（HTTP）和443端口（HTTPS），HTTPS绑定要选择正确的共享SSL证书；
2. 确认服务器已经安装了IIS的「URL重写」功能（如果没装，通过服务器管理器→添加角色功能→Web服务器→应用程序开发→勾选URL重写）。

四、测试验证要点 #

• 访问首页、商品列表等普通页面，检查地址栏是否自动跳转到http://demo.site.com；
• 点击登录、结算、后台管理等链接，确认自动跳转到https://demo.site.com对应的页面；
• 测试跨页面跳转（比如从商品页进入购物车），确保协议切换正常，不会出现混合内容警告。

最后提个小提醒：nopCommerce 2.60是比较老的版本，虽然和.NET4.6.2兼容没问题，但要确保服务器上安装了完整的.NET4.6.2框架和对应的IIS托管模块。

内容的提问来源于stack exchange，提问作者kost