如何在Web应用程序中实现HTTPS登录页面？

Question

我想创建一个安全的登录/注销机制。我开始阅读以下文章，以了解要考虑的事项：

• 正确，优雅地解决注销问题
• 再谈注销问题

这些文章提出了一些好处，但是我正在考虑使用与Yahoo邮件登录页面类似的方式使用HTTPS。您知道…键入http://mail.yahoo.com，然后将您重定向到HTTPS页面，例如**
https：//**login.yahoo.com/config/login，在其中您插入用户名和密码，验证您的凭据后，您将使用生成的session_idcookie
重定向回HTTP页面，并且从那里开始的所有通信都使用cookie在HTTP上。

我需要执行哪种行为？

我想对两个Java Web应用程序（一个带有Spring框架，一个带有Struts
1）执行此操作，但是不知道确切地将HTTPS部分集成到应用程序中（我以前从未使用过HTTPS）。

Answer 1

首先，您需要为服务器启用SSL。对于Tomcat，您需要生成一个openSSL密钥库，并将以下连接器添加到server.xml：

<Connector port="8443" scheme="https" secure="true" SSLEnabled="true"
   keystoreFile="mykeystore" sslProtocol="TLS"
   keystorePass="keystore password" />

要将SSL集成到您的应用程序中，我建议使用Spring
Security。它提供了您想要的功能（通过HTTPS登录，然后重定向到HTTP）。实现它所需要做的就是将forceHTTPS设置为true：

<bean id="authenticationProcessingFilterEntryPoint"
class="org.springframework.security.ui.webapp.AuthenticationProcessingFilterEntryPoint">
  <property name="loginFormUrl" value="/pages/login.jsp" />
  <property name="forceHttps" value="true"/>
</bean>

当然，Spring和Spring安全性确实具有相当陡峭的学习曲线，但这是完全值得的。进行一次，然后可以在不到一个小时的时间内将其应​​用于新应用。您可以在Spring和Struts应用程序中使用Spring
Security。

Spring安全曾经是Acegi安全。这是一篇文章，可以帮助您入门。