Ce n' “proxy de confiance” en la express.js et dois-je l'utiliser?

Je suis en train d'écrire un express app qui se trouve derrière un serveur nginx. Je lisais express de documents et elle a mentionné la confiance des proxy paramètre. Tout ce qu'elle dit est

confiance proxy Permet d'inverser la prise en charge du proxy, désactivé par défaut

J'ai lu le petit article ici qui explique Sessions Sécurisées dans le Nœud avec nginx.

http://blog.nikmartin.com/2013/07/secure-sessions-in-nodejs-with-nginx.html

Donc, je suis curieux. Ne la définition de "fiducie de proxy" pour vrai que la matière lors de l'utilisation de HTTPS? Actuellement, mon appli est juste HTTP entre le client et de nginx. Si je l'ai mis à vrai maintenant, sont-ils des effets secondaires/répercussions j'ai besoin d'être au courant? Il y a tout point de réglage-il vrai maintenant?

InformationsquelleAutor joeycozza | 2014-05-01
  1. 40

    Ceci est expliqué en détail dans le express derrière le guide des procurations

    Par l'activation de la "confiance proxy" réglage via l'app.enable('proxy de confiance'), Express ont connaissance du fait qu'il est assis derrière un proxy et que le X-Forwarded-* champs d'en-tête peut être de confiance, qui, autrement, peuvent être facilement usurpée.

    L'activation de ce paramètre a plusieurs effets subtils. La première, c'est que X-Forwarded-Proto peut être définie par le proxy inverse pour indiquer à l'application qu'il est https ou simplement http. Cette valeur est reflétée par req.le protocole.

    Le deuxième changement, c'est la req.ip et req.ips valeurs seront remplis avec X-Forwarded-For de la liste d'adresses.

    • Oui mais qui, littéralement, ne marche pas à expliquer quoi que ce soit, lorsque vous définissez la valeur vrai, si vous le réglez à 1 hop, comment savez-vous combien de sauts le serveur nginx est, si vous définissez l'adresse ip, dont l'ip sommes-nous et comment avez-vous trouver cette adresse ip, si vous définissez plusieurs ips, ce sont ces adresses ip, le copier-coller de la documentation est tellement plus facile quand vous n'avez pas d'expliquer quoi que ce soit, quand pensez-vous le réglez à l'adresse 127.0.0.1, cela fonctionne sur ec2, devrait vous définissez l'adresse de bouclage sur un serveur ec2
    InformationsquelleAutor Akshat Jiwan Sharma
  2. 16

    Annoté de code pour expliquer l'utilisation de proxy de confiance

        var express = require('express');

    var app = express();

    //Set the ip-address of your trusted reverse proxy server such as 
    //haproxy or Apache mod proxy or nginx configured as proxy or others.
    //The proxy server should insert the ip address of the remote client
    //through request header 'X-Forwarded-For' as
    //'X-Forwarded-For: some.client.ip.address'
    //Insertion of the forward header is an option on most proxy software
    app.set('trust proxy', '127.0.0.1');


    app.get('/test', function(req, res){
      var ip = req.ip; //trust proxy sets ip to the remote client (not to the ip of the last reverse proxy server)
      if (ip.substr(0,7) == '::ffff:') { //fix for if you have both ipv4 and ipv6
        ip = ip.substr(7);
      }
      //req.ip and req.protocol are now set to ip and protocol of the client, not the ip and protocol of the reverse proxy server
      //req.headers['x-forwarded-for'] is not changed
      //req.headers['x-forwarded-for'] contains more than 1 forwarder when
      //there are more forwarders between the client and nodejs.
      //Forwarders can also be spoofed by the client, but 
      //app.set('trust proxy') selects the correct client ip from the list
      //if the nodejs server is called directly, bypassing the trusted proxies,
      //then 'trust proxy' ignores x-forwarded-for headers and
      //sets req.ip to the remote client ip address

      res.json({"ip": ip, "protocol": req.protocol, "headers": req.headers['x-forwarded-for']});
    });

//in this example the reverse proxy is expected to forward to port 3110
var port = 3110;
app.listen(port);
//test through proxy: http://yourproxyserver/test, req.ip should be your client ip
//test direct connection: http://yournodeserver:3110/test, req.ip should be your client ip even if you insert bogus x-forwarded-for request headers
console.log('Listening at http://localhost:' + port);
    InformationsquelleAutor anneb