Tomcat/Spring SSL 配置

Question

我正在尝试配置我的 Spring 应用程序以使用我从 CA 购买的 SSL 证书。我按照 Tomcat 6.0 配置 的说明进行操作，并导入了将密钥插入我的 Tomcat 密钥库并取消注释 server.xml 中的 SSL 连接器。当我启动 Tomcat 时，我在 Tomcat 日志中看到连接器在端口 8443 上启动，但是当我转到 https://example. com:8443 或 http://example.com:8443 或 https://example.com （没有空格 - 我没有发布链接的声誉），它会超时。我还需要进行哪些其他配置才能为我的 Spring 应用程序启用 SSL。我必须更改应用程序配置吗？

我还想只拥有一些通过 SSL 的 URL（登录、编辑个人资料等）。我怎样才能在 Spring 配置中允许这种情况？如果我必须通过 SSL 访问所有 URL，那也可以，但不可取。我还没有找到任何针对 Spring 的教程。

Answer 1

您需要做的是编辑 server.xml 文件以启用 ssl。这是 Tomcat 的指南，请查看：

http://tomcat.apache。 org/tomcat-6.0-doc/ssl-howto.html

为了以编程方式了解请求是否通过端口 80 或 443 到达，您需要检查返回的值request.isSecure()。

为了完全保护 URL，我建议使用过滤器。

我不记得 Spring 是如何处理所有这些的，但我认为获取请求对象不会有任何问题。

希望有帮助。

Answer 2

在按照 @mschonaker 引用的文档配置 Tomcat 后，最简单的事情就是在 j_security_check 中定义操作并编辑配置文件表单等，指定 https: 协议，例如在 Facelet 中， https://#{request.serverName}:8443#{request.contextPath}/j_security_check。然后，当用户点击登录按钮时，表单将通过 HTTPS 进行 POST，因此它们是安全的。

这会让您在会话的其余部分中处于 HTTPS 状态：要返回 HTTP 但仍保留在同一会话中，只需提供指向完全指定的 HTTP url 的链接，例如在 Facelet 中，http://#{request.serverName}:8443#{request.contextPath}/一些链接。

如果您希望在读取时保护其他页面，请在 web.xml 中为它们定义适当的安全约束、用户数据约束和传输保证机密元素。

Answer 3

关于第二点，

我还想只拥有一些通过 SSL 的 URL（登录、编辑个人资料等）。 ???

您可以通过修改web.xml中的配置来确定它

  <security-constraint>
    <web-resource-collection>
        <web-resource-name>securedapp</web-resource-name>
       <!-- <url-pattern>/*</url-pattern> -->  <!--all pages-->
        <url-pattern>/yourapp/login</url-pattern>
        <url-pattern>/yourapp/edit</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

希望对你有帮助