如何使用Spring Boot自动重定向到https

Question

如何轻松配置嵌入式tomcat服务器，将所有http流量重定向到https？我在弹性负载平衡器后面的ec2实例上运行Spring Boot。我已经配置了ELB来为我处理ssl（这太棒了），它将X-FORWARDED-PROTO头设置为“https”。我想检测什么时候没有设置，并重定向用户，迫使他们使用https，如果他们还没有设置的话。

到目前为止，我已经尝试将以下内容添加到我的application.properties文件中，但没有成功：

server.tomcat.protocol-header=x-forwarded-proto
security.require-ssl=true

Answer 1

您将需要一个密钥库文件和几个配置类。

下面的链接详细说明。

嵌入式tomcat上的Https

Answer 2

配置属性的安全性。当基本身份验证被禁用时（至少在旧版本的Spring Boot上），require ssl不起作用。因此，您可能需要使用类似以下代码手动保护所有请求：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Inject private SecurityProperties securityProperties;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        if (securityProperties.isRequireSsl()) http.requiresChannel().anyRequest().requiresSecure();
    }
}

你可以在这里查看我的完整答案：Spring Boot将HTTP重定向到HTTPS

Answer 3

我的回答有点晚，但我最近才遇到这个问题，想发布一个对我有用的解决方案。

起初，我认为设置tomcat使用X-Forwarded头文件就足够了，但是Tomcat中通常应该处理这种情况的远程IPValve对我不起作用。

我的解决方案是添加一个EmBeddedServletContainerCustomizer和添加一个ConnectorCustomizer：（请注意，我在这里使用Tomcat 8）

@Component
public class TomcatContainerCustomizer implements EmbeddedServletContainerCustomizer {

    private static final Logger LOGGER = LoggerFactory.getLogger(TomcatContainerCustomizer.class);

    @Override
    public void customize(final ConfigurableEmbeddedServletContainer container) {
        if (container instanceof TomcatEmbeddedServletContainerFactory) {
            final TomcatEmbeddedServletContainerFactory tomcat = (TomcatEmbeddedServletContainerFactory) container;
            tomcat.addConnectorCustomizers(connector -> { 
                connector.setScheme("https");
                connector.setProxyPort(443);
            });
            LOGGER.info("Enabled secure scheme (https).");
        } else {
            LOGGER.warn("Could not change protocol scheme because Tomcat is not used as servlet container.");
        }
    }
}

重要的是，不仅要将方案设置为https，还要设置ProxyPort，如果没有ProxyPort，Spring Boot的所有内部重定向都会路由到端口80。