我们如何在weblogic server中启用HSTS（HTTP严格传输安全）

Question

我想为我的网站将超文本传输协议请求转换为https。我已经获得了SSL证书，但可能有机会绕过我的应用程序启用的加密，并且在获得证书后，我的应用程序无法阻止通过不安全的连接访问

Answer 1

使用 -Dweblogic.http.headers.enableHSTS=true JVM system 属性进行 Oracle Weblogic Server 12.2.1.4 或更高版本。应用了 2019 年 10 月修补程序集更新的较旧修补程序集/版本也具有此功能向后移植。

Answer 2

在web.config中使用此代码

<system.webServer>
    <httpProtocol>
        <customHeaders>
            <add name="Strict-Transport-Security" value="max-age=31536000"/>
        </customHeaders>
    </httpProtocol>
</system.webServer>

Answer 3

不幸的是，在weblogic中没有简单的方法来实现这一点（简单的复选框形式）。

最好的选择可能是添加自己的过滤器来添加HSTS标头。看看这个答案如何做到这一点：https://stackoverflow.com/a/30455120/1391209

以下是相关的答案文本，以便于参考（如果答案被删除）：

您可以使用过滤器添加它。将以下片段添加到web.xml：

<filter>
    <filter-name>HSTSFilter</filter-name>
    <filter-class>security.HSTSFilter</filter-class>
</filter>

然后在您的webapp中创建一个过滤器:

package security;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletResponse;

public class HSTSFilter implements Filter {

    public void doFilter(ServletRequest req, ServletResponse res,
        FilterChain chain) throws IOException, ServletException {
        HttpServletResponse resp = (HttpServletResponse) res;

        if (req.isSecure())
            resp.setHeader("Strict-Transport-Security", "max-age=31622400; includeSubDomains");

        chain.doFilter(req, resp);
    }
}