HTTPS 和 RETEasy

Question

RESTEasy 配置（使用 2.*）或 jax-rs 中是否有一种方法不允许 http 访问任何基于 REST 的 Web 服务？我只想为 https 下的 Web 服务端点提供服务。

Answer 1

在 tomcat 中，它是按端口完成的。似乎需要 3 个步骤来进行设置。

1) 创建密钥库文件。我使用 java 生成此命令如下

Keytool –genkey –alias presto  –keypass prestoAdmin  –keystore presto.bin –storepass prestoAdmin

将 presto.bin 文件复制到 tomcat 的 webapps 目录

2) 为 tomcat 设置 server.xml

<Connector port=”PORT_TO_BE_SCURED”  maxThreads="200"
scheme="https" secure="true" SSLEnabled="true"
keystoreFile../webapps/presto.bin " keystorePass="prestoAdmin"
clientAuth="false" sslProtocol="TLS"/>

3) 配置 Web 服务以使用安全连接。将以下内容添加到 web.xml

<security-constraint>
<web-resource-collection>
<web-resource-name>securedapp</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>

我从 http://tomcat 中提取此内容。 apache.org/tomcat-6.0-doc/ssl-howto.html

Answer 2

我是这样做的：

HttpServletRequest httpServletRequest =
    ResteasyProviderFactory.getContextData(HttpServletRequest.class);
HttpServletResponse httpServletResponse =
    ResteasyProviderFactory.getContextData(HttpServletResponse.class);

if (!httpServletRequest.isSecure())
{
    try
    {
        httpServletResponse.sendError(HttpServletResponse.SC_FORBIDDEN, "Use HTTPS");
    }
    catch (IOException e)
    {
        throw new WebApplicationException(e);
    }
}

这是纯粹的 RESTEasy 解决方案，您可以在处理请求之前将此代码放置在任何位置。

我使用了 tapestry-resteasy 集成，并使用 挂毯服务顾问。

Answer 3

我认为这个配置不应该在 RESTEasy 端，而应该在 servlet 容器或 Web 服务器上。

例如，如果您运行 Tomcat，请在 server.xml 中从 8080 端口删除连接器，并为 8443 端口定义一个连接器。所以Tomcat将不再接受http流量。