如何从HTTPS (SSL)降档到HTTP？我使用的是带SSL的IIS7.5、AJP 1.3和Tomcat 5.5

Question

我运行的是Windows Server2008SSL，IIS7.5，AJP Connector1.3，Tomcat5.5，都启用了R2。我使用的是自签名证书，仅用于测试。我还在web.xml中加入了一个安全约束，以对一个名为BeforeAuth.jsp的特定页面强制执行SSL.由于启用了SSL，Tomcat在同一网站上同时处理HTTP和HTTPS流量。

我想做的是针对特定的url模式从HTTPS调低到HTTP，但我不确定该怎么做。

在我的理想示例中，我有一个使用HTTP的登录页面。当用户提交页面时，它会导航到BeforeAuth.jsp。然后，提交BeforeAuth.jsp并调用一个封闭源码的第三方Java身份验证器(通过HTTPS)，在身份验证成功后，身份验证器负责将浏览器指向一个名为home.jsp的主页。

所以，这是Login(HTTP)->Authenticate(HTTPS)->HomePage(HTTP).

我该怎么做呢？

谢谢。

Answer 1

您要求的是重定向:只需构建要重定向到的整个网址，包括协议(https:)。

您真正想要做的是始终使用SSL :如果您使用SSL进行身份验证，为什么不将SSL用于会话的其余部分？从请求行嗅探JSESSIONID (如果使用URL重写)或cookie与拥有当前会话的用户密码一样好。除非用户的凭据比他们登录后可以访问的数据更有价值，否则最好的办法就是一直使用SSL。