AWS ELB HTTPS到HTTP使用Spring-Boot MVC登录不工作

Question

我使用的是在带有弹性负载均衡器的 AWS 实例中运行的Spring启动。我正在使用带有登录安全性的Spring MVC，服务器端口设置为8080。我在 ELB 中安装了一个 AWS 生成的证书，该证书具有正确的 Web 名称 test.mydomain.com。弹性负载均衡侦听器针对端口 80 HTTP 进行了设置

public class WebSecurityConfig extends WebSecurityConfigurerAdapter{

    @Autowired
    UserDetailsService userDS;

    @Override
    protected void configure(HttpSecurity http) throws Exception{

        // Allows access for .css, .js, and .images files
        http.authorizeRequests()
            .antMatchers("/resources/**")
            .permitAll()
            .anyRequest()
            .permitAll();

        // Access management for all other requests
        http.authorizeRequests()
            .antMatchers("/", "/home").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .logout()
            .logoutUrl("/logout")
            .logoutSuccessUrl("/home")
            .invalidateHttpSession(true)
            .permitAll();

    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {

        auth.userDetailsService(userDS).passwordEncoder(passwordEncoder());

    }

    @Override
    protected UserDetailsService userDetailsService() {
        return userDS;

    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        PasswordEncoder encoder = new BCryptPasswordEncoder();
        return encoder;
    }


}

当我访问主页时，https://test.mydomian.com/home，一切正常，页面安全。我确信证书有效。我尝试使用curl-vk https:test.mydomain。com/home并验证证书是否有效。当我单击login时，页面恢复为HTTP（Unsecure），接下来的所有其他页面都是HTTP。

我用ELB尝试了以下实验。我取消了端口80侦听器，因此我在443-443 HTTPS上只有一个侦听器

Answer 1

由于ELB将充当代理，因此您必须通过设置server来配置Spring（以及您正在运行的服务器）以使用转发头。在application.properties中使用转发头totrue

编辑:从Spring Boot 2.2开始，< code > server . use-forward-headers 属性已被弃用，而代之以< code > server . forward-headers-strategy 。请参阅https://github . com/Spring-projects/Spring-Boot/wiki/Spring-Boot-2.2-Release-Notes # deprecations-in-Spring-Boot-22