当运行在Google前端负载均衡器后面时，如何正确地从Spring Boot2.3重定向到HTTPS

Question

我有一个spring boot应用程序通过入口控制器在GKE上运行，带有Google https负载均衡器。我正在寻找的行为是Spring Boot应用程序在收到http请求时重定向到https。在Spring Boot2.2和更早的版本中，我可以通过下面的代码和配置来实现这一点。

我的应用程序yaml中的配置

server:
  port: 8877
  use-forward-headers: true # this should make it understand X-Forwarded-Proto header 

 @Override
  protected void configure(HttpSecurity http) throws Exception {

    /* When the app is running on GKE traffic will come in through the
     * GCP http load balancer. Which will set the X-Forwarded-Proto
     * header to http or https. When the app runs on a dev machine
     * these headers are not set.
     *
     * see https://cloud.google.com/load-balancing/docs/https/
     *
     * The code forces ssl if the x forwarded proto header is present
     * as that indicates the app is online and accessible to the
     * wider internet.
     *
     */
    http.requiresChannel()
        .requestMatchers(r -> r.getHeader("X-Forwarded-Proto") != null)
        .requiresSecure();
   // more stuff  omitted  
 } 

server:
  port: 7777
  forward-headers-strategy: native
  tomcat:
    remoteip:
      protocol-header: "X-Forwarded-Proto"
      remote-ip-header: "X-Forwarded-For"

问题：在Spring Boot2.3上运行的GKE上，通过和入口控制器配置的GCP负载均衡器，从http重定向到https的正确方法是什么？

Answer 1

Spring Boot依赖于Tomcat来评估传入的请求，以确定请求是否应该被认为是“安全的”。Tomcat remote IP valve将查看两位信息以评估请求是否安全。

1. 向Tomcat发送请求的负载均衡器/代理的ip地址
2. x-forwarded-protohttp头
的值

负载均衡器（在tomcat配置中称为内部代理）的ip地址必须在受信任列表中，并且x-forwaded-proto必须是https，tomcat才会认为请求是安全的。否则，将发送重定向。

google负载平衡器正在发送带有x-forwaded-proto:https的请求，但源ip来自google的35.191.0.0/16和130.211.0.0/22范围，因此tomcat认为来自GCP负载平衡器的https请求发送回重定向是不安全的。从而导致浏览器抱怨的无限重定向循环。

Spring Boot使用属性server.tomcat.remoteIP.internal-proxies配置tomcat远程ip地址，该属性具有RFC1918中专用ip地址的默认值，使用下面的regex。

10\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}|192\\.168\\.\\d{1,3}\\.\\d{1,3}|169\\.254\\.\\d{1,3}\\.\\d{1,3}|127\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}|172\\.1[6-9]{1}\\.\\d{1,3}\\.\\d{1,3}|172\\.2[0-9]{1}\\.\\d{1,3}\\.\\d{1,3}|172\\.3[0-1]{1}\\.\\d{1,3}\\.\\d{1,3}|0:0:0:0:0:0:0:1|::1

Tomcat不知道如何比较ip地址范围，因此必须将google源ip转换为一个正则表达式，这样才能工作。

server:
  port: 7777
  forward-headers-strategy: native
  tomcat:
    remoteip:
      protocol-header: "X-Forwarded-Proto"
      remote-ip-header: "X-Forwarded-For"
      internal-proxies: ".*" # should Java regex to match ip address range of the load balancer servers. Not a best practice to trust all ip addresses.