Jak wdrożyć witrynę tylko HTTPS za pomocą Django / nginx?

Oto rozwiązanie, które do tej pory opracowałem. Istnieją dwie części, Konfiguracja nginx i pisanie kodu dla Django. Część nginx obsługuje zewnętrzne żądania, przekierowuje http strony do https, A Kod Django obsługuje wewnętrzne generowanie URL, które ma prefiks http. (Przynajmniej te wynikające z HttpResponseRedirect()). W połączeniu wygląda na to, że działa dobrze - z tego co wiem, przeglądarka klienta nigdy nie widzi strony http, której użytkownicy sami nie wpisali.

# nginx.conf
# Redirects any requests on port 80 (http) to https:
server {
    listen       80;
    server_name  www.mysite.com mysite.com;
    rewrite ^ https://mysite.com$request_uri? permanent;
#    rewrite ^ https://mysite.com$uri permanent; # also works
}
# django pass-thru via uWSGI, only from https requests:
server {
    listen       443;
    ssl          on;
    ssl_certificate        /etc/ssl/certs/mysite.com.chain.crt;
    ssl_certificate_key    /etc/ssl/private/mysite.com.key;

    server_name  mysite.com;
    location / {
        uwsgi_pass 127.0.0.1:8088;
        include uwsgi_params;
    }
}

Część druga A, różne bezpieczne ustawienia plików cookie, od settings.py

SERVER_TYPE = "DEV"
SESSION_COOKIE_HTTPONLY = True
SESSION_COOKIE_SECURE = True
CSRF_COOKIE_SECURE = True # obecnie tylko w Dev gałęzi Django.
SESSION_EXPIRE_AT_BROWSER_CLOSE = True

Część druga B, Kod Django

# mysite.utilities.decorators.py
import settings

def HTTPS_Response(request, URL):
    if settings.SERVER_TYPE == "DEV":
        new_URL = URL
    else:
        absolute_URL = request.build_absolute_uri(URL)
        new_URL = "https%s" % absolute_URL[4:]
    return HttpResponseRedirect(new_URL)

# views.py

def show_items(request):
    if request.method == 'POST':
        newURL = handle_post(request)
        return HTTPS_Response(request, newURL) # replaces HttpResponseRedirect()
    else: # request.method == 'GET'
        theForm = handle_get(request)
    csrfContext = RequestContext(request, {'theForm': theForm,})
    return render_to_response('item-search.html', csrfContext)

def handle_post(request):
    URL = reverse('item-found') # name of view in urls.py
    item = request.REQUEST.get('item')
    full_URL = '%s?item=%s' % (URL, item)
    return full_URL

Zauważ, że jest możliwe Napisz ponownie HTTPS_Response() jako dekorator . Zaletą byłoby to, że nie trzeba przechodzić przez cały kod i zastępować HttpResponseRedirect(). Wadą - musiałbyś umieścić dekoratora przed HttpResponseRedirect(), który jest w Django w django.http.__init__.py. Nie chciałem modyfikować kodu Django, ale to zależy od ciebie - to z pewnością jedna z opcji.

Jeśli przykleisz całą swoją witrynę za https, nie musisz się o to martwić na końcu django. (zakładając, że nie musisz chronić swoich danych między nginx i django, tylko między użytkownikami a twoim serwerem)