如何让SpringSecurity/Grails与终止SSL的负载均衡器很好地配合

Question

我们在Tomcat上部署了一个Grails应用程序，该应用程序部署在终止SSL的负载均衡器后面（负载均衡器然后与端口8080上的tomcat实例通信）。我们已将SpringSecurity配置为需要所有资源上的安全通道，注意来自负载均衡器的标头，强制https并从负载均衡器映射端口：

grails.plugin.springsecurity.secureChannel.useHeaderCheckChannelSecurity = true
grails.plugin.springsecurity.auth.forceHttps = true
grails.plugin.springsecurity.portMapper.httpPort = 80
grails.plugin.springsecurity.portMapper.httpsPort = 443
grails.plugin.springsecurity.secureChannel.definition = [
        '/**': 'REQUIRES_SECURE_CHANNEL'
]

大部分工作正常-Grails中的重定向按预期使用https协议，以及大多数ajax请求。

但是，有些ajax请求无法正常工作。它们都与与j\u spring\u security*endpoint（如j\u spring\u security\u check）交互的结果有关。例如，如果用户尝试通过ajax登录，我们会在浏览器中看到此错误（这是成功登录启动的重定向）：

 Mixed Content: The page at 'https://www.servernamehere.com/' was loaded over HTTPS, but 
 requested an insecure XMLHttpRequest endpoint 'http://www.servernamehere.com/login/ajaxSuccess'.
 This request has been blocked; the content must be served over HTTPS.

身份验证不成功时会出现同样的问题：

Mixed Content: The page at 'https://www.servernamehere.com/' was loaded over HTTPS, but requested 
an insecure XMLHttpRequest endpoint 'http://www.servernamehere.com/login/authfail?ajax=true'. 
This request has been blocked; the content must be served over https.

我们如何配置Spring Security性来理解所有来自身份验证事件的重定向都需要https？

Answer 1

我在Grails应用程序secureChanel标题中设置了类似的设置，如下所示：

grails.plugin.springsecurity.secureChannel.useHeaderCheckChannelSecurity = true
grails.plugin.springsecurity.portMapper.httpPort = 80
grails.plugin.springsecurity.portMapper.httpsPort = 443
grails.plugin.springsecurity.secureChannel.secureHeaderName = 'X-Forwarded-Proto'
grails.plugin.springsecurity.secureChannel.secureHeaderValue = 'http'
grails.plugin.springsecurity.secureChannel.insecureHeaderName = 'X-Forwarded-Proto'
grails.plugin.springsecurity.secureChannel.insecureHeaderValue = 'https'

GrailsSpring Security插件的两个版本（2.x、3.x）都有一个bughttps://github.com/grails-plugins/grails-spring-security-core/issues/395然而，它已经被修复。。。。

Answer 2

我们能够通过创建自定义重定向策略（实现org.springframework.security.web.重定向策略）并将默认重定向策略bean替换为自定义重定向策略bean来解决此问题。自定义重定向策略检查负载均衡器传入的标头，并确保响应被重定向到适当的协议