如何在 Tomcat 6 中从 SSL 恢复为非 SSL？

Question

我正在使用 jsf 2 + jaas + ssl + tomcat 6.0.26

我的网站中有 2 个路径：

/faces/protected/* 使用 SSL

/faces/unprotected/* 不使用 SSL。

我已将其放入我的 web.xml 中：

<login-config>
        <auth-method>FORM</auth-method>
        <form-login-config>
            <form-login-page>/faces/login.jsp</form-login-page>
            <form-error-page>/faces/error.jsp</form-error-page>
        </form-login-config>
    </login-config>
    <security-constraint>
        <web-resource-collection>
            <web-resource-name>Secure Resource</web-resource-name>
            <description/>
            <url-pattern>/faces/unprotected/*</url-pattern>
            <http-method>GET</http-method>
            <http-method>POST</http-method>
            <http-method>HEAD</http-method>
            <http-method>PUT</http-method>
            <http-method>OPTIONS</http-method>
            <http-method>TRACE</http-method>
            <http-method>DELETE</http-method>           
        </web-resource-collection>
        <auth-constraint>
            <role-name>C</role-name>
        </auth-constraint>          
    </security-constraint>
    <security-constraint>
        <web-resource-collection>
            <web-resource-name>Secure Resource</web-resource-name>
            <description />
            <url-pattern>/faces/protected/*</url-pattern>
            <http-method>GET</http-method>
            <http-method>POST</http-method>
            <http-method>HEAD</http-method>
            <http-method>PUT</http-method>
            <http-method>OPTIONS</http-method>
            <http-method>TRACE</http-method>
            <http-method>DELETE</http-method>
        </web-resource-collection>
        <auth-constraint>
            <role-name>C</role-name>
        </auth-constraint>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>     
    </security-constraint>
    <security-role>
        <description> Role Client </description>
        <role-name>C</role-name>
    </security-role>

这是我的 server.xml：

 <Connector port="8080" protocol="HTTP/1.1" 
               maxThreads="400"
               maxKeepAliveRequests="1"
               acceptCount="100"
               connectionTimeout="3000"
               redirectPort="8443"
                compression="on"
                compressionMinSize="2048"
                noCompressionUserAgents="gozilla, traviata"
                compressableMimeType="text/javascript,text/css,text/html, text/xml,text/plain,application/x-javascript,application/javascript,application/xhtml+xml"  />


  <Connector port="8443" protocol="org.apache.coyote.http11.Http11AprProtocol" SSLEnabled="true"
               maxThreads="400" scheme="https" secure="true"
               clientAuth="optional" sslProtocol="TLS" 
               SSLCertificateFile="path/to/crt" 
               SSLCertificateKeyFile="path/to/pem"/>

当我进入受保护的路径时，它会切换到 HTTPS（端口 8443），但是当我进入路径 /faces/unprotected/something...它仍然使用 HTTPS。

我想要的是，当我进入不受保护的路径时，它会恢复到非 SSL 通信（否则，当我在浏览器中设置确切的地址时，我必须再次重新登录）。

我的配置有什么问题吗？

有没有办法让我可以做这样的事情？

是否可以使用调用该页面而无需再次请求身份验证？

Answer 1

是的，这是 Tomcat 上的正常行为。

一旦转入 https，它就不会将其他 URL 重定向回 http，除非该 URL 明确用于 http。

如果你确实需要，你必须编写过滤以检查 URL 是否不属于安全模式的一部分，然后重定向回 http。

Answer 2

如果您在 HTTPS 下登录，然后返回到 HTTP，则会将经过身份验证的 cookie 暴露给中间人攻击。这很糟糕。

在会话经过身份验证的整个过程中，您应该保持 HTTPS。

与您的应用程序所做的工作相比，执行 SSL 所需的计算完全微不足道。坚持使用 SSL 即可。