お知らせ

現在サイトのリニューアル作業中のため、全体的にページの表示が乱れています。

ローカルにHTTPS対応のnginxを建てる方法

投稿日：
OS::WindowsOS::Linux::Ubuntu技術::CA証明書技術::プロトコル::HTTPミドルウェア::HTTPD::nginx

WSL上のUbuntuで動作するnginxでHTTPSに対応したサーバーを作る方法。実機でも同様の手順でいける

確認環境

Env Ver
nginx nginx/1.18.0 (Ubuntu)
mkcert v1.4.4
Ubuntu 20.04.6 LTS
Windows 11 22621.3880

手順

  1. Windows側にmkcertを入れる
  2. mkcertで証明書を作る
    • mkcert sandbox.test
  3. 以下のpemファイルが生成される
    • sandbox.test.pem
    • sandbox.test-key.pem
  4. 生成されたpemファイルを/etc/nginx/conf.d/ssl/に移動する

  5. /etc/nginx/conf.d/sandbox.test.confを作成し、以下のような記述をする

    server {
    listen       443 ssl;
    client_max_body_size 100m;
    server_name  sandbox.test;

    ssl_certificate     conf.d/ssl/sandbox.test+1.pem;
    ssl_certificate_key conf.d/ssl/sandbox.test+1-key.pem;

    access_log   /var/log/nginx/sandbox.access.log;
    error_log    /var/log/nginx/sandbox.error.log;

    # ファイルホスト用
    #  location / {
    #    root /usr/share/nginx/html/sandbox;
    #    index index.html;
    #    try_files $uri /index.html =404;
    #  }

    # APサーバーへのリバプロ用
    location ~ ^/.*$ {
        rewrite ^/.*$ / break;
        proxy_set_header X-Request-Path $request_uri;
        proxy_set_header X-Host $host;
        proxy_pass  http://127.0.0.1:9999;
    }

    # fastcgi用
    location ~ \.php$ {
        root  /usr/share/nginx/html/sandbox;
        fastcgi_pass unix:/run/php/php8.0-fpm.sock;
        fastcgi_index index.php;
        include fastcgi_params;
        fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
    }
}
  6. nginxを再起動する
    • sudo service nginx restart

他の端末に証明書を撒く方法

mkcertのRoot CAをエクスポートして他の端末に突っ込めば、他の端末でもpemが流用できる

コメント（0件）

HTTPリクエストヘッダーに意味のない値を入れないで欲しい

投稿日：
技術::プロトコル::HTTP

日頃仕事で開発をしていたり、そこら辺のWebサービスの振る舞いを眺めていると不思議というか、奇妙というか、端的に言うとありえないリクエストを投げているものを見かける。

一例としては次のようなものを見たことがある。

フロントエンドで第三者サービスに問い合わせクライアントIPを取得し、それをバックエンドに送る

これの問題点はまずクライアントのIPを幾らでも捏造できることだ。

クライアントからバックエンドに投げている値など幾らでも偽装できるため、その中にクライアントのIPアドレスを含めるのは何の価値もない。

他にも第三者のサービスを利用しているので、そこが落ちてたり、仕様変更があったりすると使えなくなる。

サーバー間のHTTP通信でクライアントのIPをREMOTE_ADDRヘッダーに入れて送る

具体的にはSSRを利用しているNext.jsのサーバーサイドレンダリング側で、クライアントのIPを取得し、後ろにいるAPサーバーにHTTPで投げるときにREMOTE_ADDRヘッダーに入れて送っていたケースだ。curlで表すと次のような形式だ。

curl -H 'REMOTE_ADDR: <ここにIP>' http://example.com

サーバー側はクライアント側のIPをサーバー側が設定するので、このリクエストには意味がない。トラフィックと実装コードの無駄といえる。

サーバー側が何を基にして設定しているかは実装依存だと思うが、恐らく一般的にはトランスポート層より下ではないだろうか？

あとがき

いわゆるフロントエンドエンジニアや、プログラミングスクール卒などの意識が低いエンジニアらが書いたコードを見ているとこのようなものが散見される印象だが、もう少しちゃんと考えて実装して欲しいと思う。

なんというか、最低限常識とされている部分は理解しておいてほしいなというのはすごく思う。

コメント（0件）