仍然可以使用HTTP访问具有机密传输保证的URL

Question

我执行了以下步骤:
1)通过keytool创建自签名证书
2)在server.xml的8443端口上配置连接器
3)检查localhost:8080和localhost:8433都可访问
4)向web.xml添加以下安全约束

<security-constraint>
   <web-resource-collection>
        <web-resource-name>securedapp</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

当我转到http://localhost:8080/myapp/时，不会重定向到https://localhost:8443/myapp/。据我所知，对于传输保证为机密的URL使用HTTP的请求应该使用HTTPS自动重定向到相同的URL。

但是，我的应用程序仍然可以访问，并且使用HTTP和HTTPS工作。我使用的是Tomcat 6.0.36。我错过了什么？

提前谢了。

Answer 1

回答我自己的问题。

我发现这种行为是由HTTP连接器的secure标志引起的。我以前为测试目的设置了它，但忘记了它。

当HTTP连接器具有secure=“true”并且浏览器中没有现有的JSESSIONID cookie时：

null

null