如何使Apache完全拒絕一個目錄的非SSL

Question

我在https://writeapp.me上有一台僅允許SSL連接的服務器。 它在Chrome和Firefox HSTS列表上，使用HSTS標頭，並包括重寫規則以將所有HTTP請求重定向到HTTPS。

此設置非常適合使用Web瀏覽器的臨時用戶使用，但是現在我正在開發一種API，並且我需要對到一個路徑的所有非HTTPS請求進行拒絕和重定向 。

該API將位於https://writeapp.me/api/中 。 我希望所有包含/api HTTP請求都返回400錯誤請求或403禁止訪問（不確定哪個狀態最有意義），而所有其他普通HTTP請求可以繼續重定向到其HTTPS對應對象。

計划是將這些規則包括在vhost配置中，而不是htaccess文件中。 /api不是實際目錄，它只是框架提供的路由，因此/api內的.htaccess文件不起作用。 （這沒關系，我想。這里我只是做得更詳細）。

Answer 1

您可以在目錄配​​置中使用SSLRequireSSL 。

像這樣：

<Location /api>
    SSLRequireSSL
</Location>

當然，您需要將其放置在正確的位置（取決於配置的其余部分），以便它優先於潛在的重寫/重定向。