在Google Cloud Endpoints+App Engine上强制HTTPS：Node.js/Express如何拦截HTTP请求

我完全懂你现在的头疼点——GAE Node.js环境没法用handlers配置强制SSL，express-sslify又没生效，明明OpenAPI里设了schemes: ["https"]，HTTP请求还是能钻进来。别慌，咱们从GAE的请求转发机制入手，给你两个靠谱的解决方案：

核心原因先搞清楚 #

GAE的负载均衡会把所有外部请求（不管是HTTP还是HTTPS）都以HTTP形式转发到你的Node.js服务，所以直接检查req.protocol只会得到http——这就是express-sslify默认配置失效的关键，它没识别到负载均衡传递的真实协议头。

方案1：手动写Express中间件（最稳妥） #

直接检查GAE传递的X-Forwarded-Proto请求头，这个头会告诉你用户实际发起的请求协议。把这个中间件放在所有路由、Cloud Endpoints配置之前：

// 放在app.js最顶部，确保所有请求先经过它
app.use((req, res, next) => {
  // 判断真实请求是否为HTTPS
  if (req.headers['x-forwarded-proto'] !== 'https') {
    // 重定向到HTTPS，保留原路径和查询参数
    return res.redirect(`https://${req.headers.host}${req.url}`);
  }
  next();
});

方案2：修复express-sslify的配置 #

如果还是想用express-sslify，只需要开启trustProtoHeader选项，让它信任负载均衡传递的X-Forwarded-Proto头：

const sslify = require('express-sslify');

// 同样要放在所有路由之前加载
app.use(sslify.HTTPS({ trustProtoHeader: true }));

额外补全：Cloud Endpoints配置强化 #

虽然你已经设了schemes: ["https"]，可以再给OpenAPI文件加个security配置，从文档层面强制所有路径必须用HTTPS：

securityDefinitions:
  https:
    type: "apiKey"
    name: "X-Forwarded-Proto"
    in: "header"
    description: "必须通过HTTPS访问服务"
security:
  - https: []

不过这一步主要是规范客户端调用，真正的请求拦截还是得靠Express中间件。

关键注意点 #

• 中间件的加载顺序绝对不能错，必须放在所有路由、app.use('/api', endpoints)这类配置之前，不然部分请求会绕过拦截。
• 部署后记得测试：用curl http://your-app-id.appspot.com发起HTTP请求，应该会收到302重定向到对应的HTTPS地址。

内容的提问来源于stack exchange，提问作者Mr. Blockchain