是否需要force_ssl？ 還是應該在負載均衡器處終止SSL？

Question

在AWS OpsWorks上。 我正在使用ELB，它具有我的CA的SSL證書。

訪問的第一點始終是負載平衡器（ELB）。 ELB將流量定向到實例。 每個實例都有一個Rails應用程序，Unicorn等的副本。

要注意的一件事。 ELB后面的實例無法直接訪問。

此時，我需要在Rails中使用force_ssl嗎？ 我聽說在邊界（ELB）終止SSL很常見。

據我所讀， force_ssl給出以下內容：

1. 自動將流量從http重定向到https。
2. 將cookie標記為安全的，並增加了一些保護（例如，抵御MITM攻擊）。

http://api.rubyonrails.org/classes/ActionController/ForceSSL/ClassMethods.html僅指示將HTTP重定向到https。

force_ssl在Rails中做什么？ 第二個答案表明force_ssl不只是重定向。

如果我決定不使用force_ssl ，則可以通過編寫Nginx定義來管理重定向。

在這種情況下，由於在ELB中已經在進行SSL協商，因此感覺像通過Rails強制使用SSL已經過時了。 仍然需要force_ssl嗎？ 還有其他好處嗎？

Answer 1

如果要在ELB級別終止SSL，則不需要它。 （您要獲取http流量，而不要重定向）。

請記住，在這種情況下，ELB和您的后端實例之間的流量將通過HTTP（即未加密）進行。 在大多數情況下都可以。