如何配置Spring Boot应用程序以接受未知的SSL客户端证书？

Question

我创建了一个具有双向SSL认证的Spring Boot 2应用程序。
简而言之，它归结为以下配置：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated()
                .and().x509();
    }

该应用程序具有密钥库/信任库，可以与导入的客户端证书一起正常工作。
出乎意料的是，如果我尝试与未知客户端证书连接，由于SSL握手失败，连接无法建立

然而，我希望即使证书不被接受，也能到达应用层，并用应用程序的HTTP响应进行响应。

有没有办法做到这一点？

Answer 1

回答我自己的问题：我本可以使用Spring Boot属性

server.ssl.client-auth: want

而不是

server.ssl.client-auth: need

第一个选项仍然允许连接到tomcat，即使证书无效或不存在。然后请求将被安全过滤器拒绝。

Answer 2

如果不需要在服务器端进行证书握手，这意味着您不需要SSL。因此，在配置文件中停用它：

server:
  ssl:
     enabled: false

PS：仅在HTTP协议中公开您的REST webservice是危险的。也许，在开发环境中进行这样的配置是有意义的。