将SSL配置为与Tomcat 5.5服务器上的Java web应用程序配合使用

Question

这是一个有点新手的问题，但是我需要什么才能让SSL在我的Java web应用程序(使用Stripes作为MVC实现的标准Java web应用程序，Spring和Hibernate)中工作呢？

我正在Tomcat5.5上部署我的war文件。我只希望SSL用于某些URLS任何正在传输用户的密码-所以帐户注册，更改密码和登录。

我是否只需要获得SSL证书并将其安装到Tomcat中？如何确保https仅用于某些URL？

Answer 1

我是否只需要获得SSL证书并将其安装在Tomcat中？

这确实是必需的，而且您还需要配置一个安全连接器。

如何确保https仅用于某些URL？

recommendation用于加密表单提交(即在相关表单action中使用绝对https:// urls )，但如果您想要防止中间人攻击，还可以加密表单提交页面本身。

所以在你需要的任何地方使用“安全的”绝对链接，并在你的web.xml中使用安全约束对特定的内容强制执行SSL。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Secure Area</web-resource-name>
        <url-pattern>/secure/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint> 

Answer 2

您可以为您想要的URL创建一个重定向到https://的Filter。

Answer 3

我是否只需要获得SSL证书并将其安装在Tomcat中？

关于如何设置ts，The Tomcat manual有一个非常简单易用的指南。

如何确保https仅用于某些URL？

这段逻辑需要存在于您的应用程序中。Bozho的解决方案肯定会起作用，如果你使用特定的web框架或不使用，可能会有其他解决方案。