Apache代理后嵌入Tomcat的spring boot

Question

我们有一个spring boot（spring MVC）应用程序，在Apache SSL代理背后的专用appserver上嵌入了Tomcat。

代理服务器上的SSL端口为4433，转发到AppServer上的端口8080。

因此转发到代理服务器的URL如下所示：

https://proxyserver:4433/appname   >>forward>>   http://appserver:8080/

在没有代理的情况下运行时，发生的第一件事是
spring安全重定向请求，如：

http://appserver:8080/   >>redirect>>   http://appserver:8080/login

若要显示登录表单，请使用扩展WebSecurityConfigurerAdapter

  ...
  httpSecurity.formLogin().loginPage("/login") ...
  ...

它在没有代理的情况下工作很好，但是有了代理，重定向需要更改，
所以spring应该改为重定向到相应的代理URL，比如：

http://appserver:8080/   >>redirect>>   https://proxyserver:4433/appname/login

但还没有成功。

我正在尝试应用以下解决方案：59.8在前端代理服务器后使用Tomcat

我们已经在Apache中配置了mod_proxy，并验证它是否发送了预期的报头：

X-Forwarded-For: xxx.xxx.xxx.xxx
X-Forwarded-Host: proxyserver
X-Forwarded-Port: 4433
X-Forwarded-Proto: https

应用程序使用以下参数启动：

export ARG1='-Dserver.tomcat.protocol-header=x-forwarded-proto' 
export ARG2='-Dserver.tomcat.remote-ip-header=x-forwarded-for'
java $ARG1 $ARG2 -jar webapp.jar

但重定向仍不起作用。

它将继续在本地重定向到客户端不可用的http://appserver:8080/login。

我们还需要做些什么来实现这个场景吗？

此外，我还关心代理URL中的“/appname”部分。在appserver上，应用程序的根是“/”。当通过代理时，应该如何指示spring将“/appname”包含在所有发送回客户端的URL中？

Answer 1

您的代理看起来很好，后端应用程序也很好，但它似乎看不到RemoteIPValve修改的请求。RemoteIPValve的默认行为包括代理IP地址的模式匹配（作为安全检查），并且它只修改它认为来自有效代理的请求。该模式在spring boot默认为一组众所周知的内部IP地址，如10.*.*.*和192.168.*.*，因此如果您的代理不在其中之一上，则需要显式配置它，例如。

server.tomcat.internal-proxies=172\\.17\\.\\d{1,3}\\.\\d{1,3}|127\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}

（使用属性文件格式，这意味着必须双转义反斜杠）。

您可以在RemoteIPValve中看到正在发生的事情，如果您设置

logging.level.org.apache.catalina.valves.RemoteIpValve=DEBUG

或者在其中设置断点。

Answer 2

前几天我也遇到了同样的问题。在对spring boot 1.3进行了一些调试后，我找到了以下解决方案。

1.必须在Apache代理上设置头：

<VirtualHost *:443>
    ServerName www.myapp.org
    ProxyPass / http://127.0.0.1:8080/
    RequestHeader set X-Forwarded-Proto https
    RequestHeader set X-Forwarded-Port 443
    ProxyPreserveHost On
    ... (SSL directives omitted for readability)
</VirtualHost>

2.你得告诉你的spring boot app使用这些头。所以在您的application.properties（或任何其他spring·布茨理解属性的地方）中放入以下一行：

server.use-forward-headers=true

如果正确执行了这两项操作，应用程序发送的每个重定向将不会转到http://127.0.0.1:8080/[path]，而是自动转到https://www.myapp.com/[path]

更新%1。关于这个主题的文档在这里。您应该阅读它，至少了解server.tomcat.internal-proxies属性，该属性定义了可信任的代理服务器的IP地址范围。