向Tomcat添加HSTS特性

Question

好好信任你们。

我的web应用程序运行在tomcat 6.0.43上，不使用apache或nginx。

我已经强制我的网络从超文本传输协议重定向到https使用：

1. URL重定向到/webapps/ROOT/index。jsp

<security-constraint>
<web-resource-collection>
  <web-resource-name>Protected Context</web-resource-name>
     <url-pattern>/*</url-pattern>
 </web-resource-collection>
 <user-data-constraint>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint></security-constraint>

在下面的何处添加此类代码

标题添加严格-运输-安全"max-age=15768000"

还是tomcat没有这个功能？或者我需要在我的每个java web应用程序控制器中进行修改。




Answer 1

使用url-重写。

1. 创建url重写配置文件并将其放入web应用程序的web-INF/classes目录中

请注意，这不是特定于HSTS的：您可以使用url重写进行任何操作。

Answer 2

您可以使用过滤器添加它。将以下代码段添加到web。xml:

<filter>
    <filter-name>HSTSFilter</filter-name>
    <filter-class>security.HSTSFilter</filter-class>
</filter>

然后在你的webapp中创建一个过滤器：

package security;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletResponse;

public class HSTSFilter implements Filter {

    public void doFilter(ServletRequest req, ServletResponse res,
        FilterChain chain) throws IOException, ServletException {
        HttpServletResponse resp = (HttpServletResponse) res;

        if (req.isSecure())
            resp.setHeader("Strict-Transport-Security", "max-age=31622400; includeSubDomains");

        chain.doFilter(req, resp);
    }
}

也可以使用全局web添加过滤器。xml（conf/web.xml）。

Answer 3

如果您能够使用Tomcat 7或8，您可以激活内置的HSTS过滤器。取消在tomcat/conf/web.xml中的过滤器定义

<filter>
    <filter-name>httpHeaderSecurity</filter-name>
    <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
    <async-supported>true</async-supported>
</filter>

并添加一个有用的最大年龄参数：

<init-param>
    <param-name>hstsMaxAgeSeconds</param-name>
    <param-value>31536000</param-value>
</init-param>

不要忘记取消对筛选器映射的注释：

<filter-mapping>
    <filter-name>httpHeaderSecurity</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
</filter-mapping>