如何让spring security在跨多个域的负载平衡器后面工作？

Question

我们正在将旧的java/Spring应用程序移动到AWS中，因此它位于AWS应用型负载均衡后面。Tomcat直接在端口8080上的负载均衡器后面运行，我们在负载均衡器和tomcat之间使用HTTP。

问题是在这种情况下，Spring Security模块无法识别连接是否安全。

我可以通过配置连接来解决此问题：

<Connector port="8080"
           protocol="HTTP/1.1"
           connectionTimeout="20000"
           proxyName="single-host.example.com"
           secure="true"
           scheme="https"
           redirectPort="443"
           proxyPort="443" />

它适用于单个主机名。但是，我需要它来跨多个主机名工作。

我已尝试跳过代理并添加：

server.tomcat.remote_ip_header=X-Forwarded-For
server.tomcat.protocol_header=X-Forwarded-Proto

但这似乎没什么区别。

在这种情况下是否有方法支持多个主机名？

Answer 1

您应该在LB上设置HTTPS连接，然后您将在LB和tomcat之间建立适当的TLS连接，以便Spring停止哭泣。您只需向LB提供一个自签名证书，并使用生成此自签名证书的私钥设置您的Spring Security模块。

（更复杂的选项：正确设置tomcat代理，强制它将LB的HTTP流封装在HTTPS流中。在代理中设置所有TLS要求：证书、私钥…）

Answer 2

我有一些解决程序。所以我提供了两个建议。第一个是一步一步的图片视图来解决你的问题。如果没有，那就去第二个。

第二个是使用X-Forwarded-Proto和相关配置来解决问题。希望对您有所帮助。

亚马逊云环境的负载平衡支持过程非常简单。这里提供了一个分步教程：使用Java Web应用程序Tomcat会话粘性的弹性负载平衡（ELB）

飞利浦宇宙给出了解决方案。

在Tomcat中配置以下阀门将发出请求。isSecure（）函数与X-Forwarded-Proto标头正确匹配：

<代码>

这可以添加到Tomcat的server.xml下的

当然，在所有这些之后，有一个非常非常简单的解决方案可以从一开始就解决这个问题。真正需要做的就是修改原始通道过滤器：

if ("https".equals(invocation.getHttpRequest().getHeader("X-Forwarded-Proto"))) {
    getEntryPoint().commence(invocation.getRequest(), invocation.getResponse());
}

if (invocation.getHttpRequest().isSecure() || 
        "https".equals(invocation.getHttpRequest().getHeader("X-Forwarded-Proto"))) {
    getEntryPoint().commence(invocation.getRequest(), invocation.getResponse());
}

此处的最终配置应为：

<bean class="org.broadleafcommerce.common.security.channel.ProtoChannelBeanPostProcessor">
    <property name="channelProcessorOverrides">
      <list>
        <bean class="org.broadleafcommerce.common.security.channel.ProtoInsecureChannelProcessor" />
        <bean class="org.broadleafcommerce.common.security.channel.ProtoSecureChannelProcessor" />
      </list>
    </property>
</bean>

在那之后，

有些人更喜欢在负载均衡器处终止SSL，而不是使用Apache Web服务器。在这种情况下，您通常在80/443上的LB接受流量，然后将流量路由到8080上的Tomcat。

如果您使用Spring的端口映射：

<sec:port-mappings>
    <sec:port-mapping http="8080" https="443"/>
</sec:port-mappings>

这将不起作用，因为它不会覆盖新通道处理器中的端口映射。以下是一个可以正常工作的配置：

<bean class="org.broadleafcommerce.common.security.channel.ProtoChannelBeanPostProcessor">
    <property name="channelProcessorOverrides">
        <list>
            <bean class="org.broadleafcommerce.common.security.channel.ProtoInsecureChannelProcessor" >
                <property name="entryPoint">
                    <bean class="org.springframework.security.web.access.channel.RetryWithHttpEntryPoint">
                        <property name="portMapper" ref="portMapper"/>
                    </bean>
                </property>
            </bean>
            <bean class="org.broadleafcommerce.common.security.channel.ProtoSecureChannelProcessor" >
                <property name="entryPoint">
                    <bean class="org.springframework.security.web.access.channel.RetryWithHttpsEntryPoint">
                        <property name="portMapper" ref="portMapper"/>
                    </bean>
                </property>
            </bean>
        </list>
    </property>
</bean>

资源链接：HTTPS/SSL/Spring Security性在负载平衡器和非负载平衡器环境中都不起作用#424

Answer 3

AWS LoadBalancer在代理请求时发送X-Forwarded-Proto标头。

在Tomcat上，配置Remote teIpValve以从这些标头中解释request.secure和其他请求变量。

<Valve className="org.apache.catalina.valves.RemoteIpValve"/>

您还应该省略Connector配置上的proxyName设置，因为它应该自动来自阀门。