标签： https

最优化使用阿里OSS云存储

　　上一篇文章讲到了为何要迁移到阿里OSS，经过几天时间的实际验证，发现还是踩了不少的坑，这里记录下，供参考。

　　首先有几个先决条件如下：

  1. 全站所有请求必须HTTPS
  2. 全站仅允许出现自有二级域名
  3. 上行和下行流量均不经过ECS服务器

　　（代码洁癖 8) ）

　　阿里OSS我们可以简单的认为分两个部分：

一是存储有关的，提供了两个访问域名：一个是公网，一个内网

<bucket>.oss-cn-shenzhen.aliyuncs.com （A域名）
<bucket>.oss-cn-shenzhen-internal.aliyuncs.com （B域名）

二是为图像处理（缩图，转码）有关的，也提供了一个访问域名：

<bucket>.img-cn-shenzhen.aliyuncs.com (C域名)

我们在这个图像处理的功能上面绑定了一个自有的二级域名：

image.snapast.com (D域名)

默认分配并指向了下面的CDN加速节点域名：

image.snapast.com.w.kunlunca.com （E域名）

　　暂且称为A~E域名，注意其中细微差别。其中A和B域名本身是支持HTTPS的，但C不行，在绑定了D之后，可以上传SSL证书开启。A域名也可以绑定自有域名，但不支持HTTPS。图像处理设置了禁止原图访问，也就是C，D域名仅允许通过“样式”访问到缩略图。但A，B不受限制，本来就不同的系统。

于是第一个方案是这样的：

用户上传：HTTPS POST A域名
用户访问：HTTPS GET D域名

　　初看没啥问题，除了引入一个第三方域名，不符合预定规范，但也运行良好，但有个很严重的问题，会泄漏原图，将D域名的路径拼接到A上面就能拿到原图。故pass掉，和客服聊了后给了个鸡贼的方案：

方案二:

用户上传：HTTPS POST upload.snapast.com -> proxy_pass -> B域名
用户访问：HTTPS GET D域名

　　在nginx上将用户上行的POST请求转发到B域名，这样可以在nginx层面拦截原图访问，并可以支持自有域名HTTPS。虽然又点不符合规范了，虽然ECS下行带宽还是蛮大的，proxy_pass也是内网地址，似乎也无大碍。

方案三：
将bucket设置为私有，这样POST不变，GET需要增加signature，想想就复杂，搞的URL又长又丑，没再尝试。

　　后来想想，能不能直接POST到D域名试试，居然成功了。Object 管理中证实了文件是传成功的，但感觉怪怪的，原来CDN还能upload。官方文档似乎也没有说这样用合不合理，暂且先如此把。

为花图相册开启全站https

是否为花图相册开启全站https其实考虑已久：一来是发现目前越来越多的网站都走向了https，即便不是电子商务的网站，例如百度。二是服务器计算能力越来越强大，似乎也不必要在乎加解密，握手所消耗的这点资源。三是出于程序员思维，好东西自然要折腾一番，且不说在Chrome地址栏中绿色的scheme是多么的诱人。

1. SSL证书分类

SSL证书大致可以分为Class 1～5这五种，级别依次递增，数字越高，信用级别越高，自然收费也更高。
Class 1（DV），只验证域名真实性，即保证所访问的域名是真实有效的，这个级别的证书申请也是最简单的，只需提供域名管理者邮箱或者以域名为后缀的几个特定邮箱即可。通常用于个人或邮件。
Class 2（IV）验证域名和个人身份证明。
Class 3（OV）验证域名和组织机构信息。
Class 4（EV）电子商务，网上交易等。
Class 5私有组织或政府部门，比较少见。

这里虽然有等级之分，其实也就是准入门槛越来越高而已，增加了造假难度，但底层加密方式可以都是一样的。

2. 证书申请

这里不得不提到两家免费证书提供商，国内的Wosign和国外的StartSSL，这两家都有试用过，这里简单记录下使用过程：

Wosign的免费证书申请地址隐藏比较深，官网拉倒最下面才有个注册入口。由于是国内的，注册就容易多了，基本上顺着向导很容易就能拿到证书，而且提供的证书非常全面，涵盖了常用的几个服务器，包括Apache，Nginx，Tomcat等，可以说非常便捷。

StartSSL就麻烦多了，首先注册时候填写的资料必须是个人的真实的，或者说看起来要真实。其二需要人工审核，一般也很快，十分钟左右就能收到邮件。而这家最该死的设计就是以后的登录必须靠首次登陆所安装的证书来识别，因此需要备份好证书。可惜的是我这里Chrome下首次安装失败了，建议用IE。意味着我只要退出登录了就再也进不来了。不过并不妨碍继续申请域名证书，首先是验证域名，再申请证书，得到的私钥需要用openssl解密，或者在toolbox中在线解密。然后再下载他们家的sub class1证书附加到域名证书中，才可以正常使用。

在实际测试中，Wosign的免费证书顶级CA居然是StartSSL签发的，Wosign作为一个二级CA，有点奇怪，证书链比StartSSL多一层，理论上验证也要花费更多时间。

3. Nginx服务器配置

主要是增加443端口监听，别忘了在防火墙上也要允许通过443端口。开启ssl，很简单。ssl_ciphers可能还需要优化，目前来讲RC4算法已经不太安全了，可以禁用。由于加密所需要的握手次数和时间都增加不少，因此很有必要调节下ssl_session的缓存大小和超时时间。官方资料是1m cache大概能存储4000个会话，timeout 10m是十分钟。部分代码如下：

listen       80;
listen       443 ssl;
server_name  snapast.com www.snapast.com;

ssl			on;
ssl_certificate		/etc/nginx/ssl/ssl.crt;
ssl_certificate_key	/etc/nginx/ssl/ssl.key;
ssl_protocols		TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 		EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
ssl_prefer_server_ciphers	on;
ssl_session_cache	shared:SSL:10m;
ssl_session_timeout	10m;

开启后，还需要将非https请求从定向到https，这里我做了两步处理：首先host不等于snapast.com的转为snapast.com，即将带www的转为不带www。scheme不是https的转到带https，同时带上上下文和参数。

if ($host != 'snapast.com') {
rewrite ^/(.*)$ https://snapast.com/$1 permanent;
}

if ($scheme != "https") {
rewrite ^/(.*)$ https://snapast.com/$1 permanent;
}

4. 其他说明

Tomcat也可以开启http所访问，但由于都是内网，因此没必要再开启https了，但需要注意的是，在Tomcat看来还是http的请求，所以通过request.getScheme()得到的依然是http，凡有用到的需要注意一下，容易出现在拼接basePath的地方。

出于安全规范，全站https后，若有脚本等资源还是http引入的浏览器都会拒绝加载，而我之前用的51.la统计工具便不支持https，试过腾讯统计也不支持，目前发现百度统计可以用，因为他的脚本没有限定scheme。

到此就算完成了，欢迎访问花图相册看效果：https://snapast.com。 :cool: