在Tomcat中将HTTP重定向到HTTPS:PORT诊断树

Question

我有一个正在运行的tomcat应用程序，它已经具有以下从HTTP到HTTPs的重定向规则：

<Connector executor="tomcatThreadPool"
           port="80"
           protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="443" />

是否可以添加一个例外/规则，将特定的http request(http://www . example . com)重定向到另一个特定的地址，并指定一个端口(比如https://www . example . com:8443/test)，而不更改/删除上述连接器？

Answer 1

我有一个正在运行的tomcat应用程序，它已经具有以下从HTTP到HTTPs的重定向规则：

正如马拉古纳回答的那样，连接器配置不是重定向规则。这只是执行由＜code＞触发的重定向时使用的设置

没有办法根据每个应用程序覆盖该设置。

如果您需要更好地控制此类重定向，您需要实现自己的Filter来实现重定向（if（！request.isSecure（））{response.send重定向（…）；}），或配置第三方。

//从技术上讲，在当前的Tomcat 8代码中，由传输保证触发的重定向是通过org.apache.catalina.realm.RealmBase.hasUserDataPermission（…）方法执行的。

Answer 2

你可以对部署到tomcat的每个应用程序执行此操作，方法是将其添加到tomcat_dir/conf/web.xml的末尾：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Entire Application</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <!-- auth-constraint goes here if you requre authentication -->
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

这样你就不用在你的webapp的web.xml上改了。

假设您已经有https在另一个端口（通常是443）工作，这应该可以工作。如果没有，请确保您的tomcat_dir/conf/server.xml如下所示：

<!-- Default tomcat connector, changed the redirectPort from 8443 to 443 -->
<Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="443" />

<!-- To make https work on port 443 -->
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
        maxThreads="150" SSLEnabled="true">
    <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol"/>
    <SSLHostConfig>
        <Certificate certificateKeyFile="/your/own/privkey.pem"
            certificateFile="/eyour/own/cert.pem"
            certificateChainFile="/your/own/chain.pem"
            type="RSA" />
    </SSLHostConfig>
</Connector>

Answer 3

您所展示的连接器配置并没有按照您所设想的方式重定向特定的URL。

如果您在servlet容器中为web应用程序配置了CONFIDENTIAL传输保证，则该配置起作用。

我的意思是，如果您在该连接器上部署了任何应用程序，其web.xml描述符具有安全约束，如下所示：

<security-constraint>

    <web-resource-collection>
        <web-resource-name>Secured</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>

    ...

    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>

</security-constraint>

然后，Tomcat会将任何匹配的< code>url-pattern重定向到已配置的端口，以便使用HTTPS作为传输机密性的保证人。

所以，如果你想重定向一个特定的URL，你必须用特定的应用程序配置来补充连接器的配置。

正如你在评论中所建议的，这可能是让这个配置工作的另一个步骤。一旦你配置了如图所示的http连接器，然后按照我告诉你的那样配置了app，你只需要确保你的Tomcat服务器配置了HTTPS连接器，其他方式的重定向就不起作用了。

要配置此HTTPS连接器，可以使用如下配置：

<Connector connectionTimeout="20000"
    acceptCount="100" scheme="https" secure="true"
    port="443" clientAuth="false" sslProtocol="TLS"  
    keystoreFile="PATH_TO_KEY_STORE"  
    keystorePass="KEY_STORE_PASS"  
    keyAlias="KEY_STORE_ALIAS"/>

这是一个示例配置，我没有放置一些对您很重要的属性，例如线程attrs、执行器等。

最重要的是为HTTPS连接提供服务所需的KeyStore配置。这里有为Tomcat提供HTTPS服务的java KeyStore的官方文档。