tomcat如何在没有spring安全性的情况下切换到https并返回到http

Question

使用Tomcat 7.0.32，我们有一个登录页面，默认情况下，用户通过http访问。我们立即将用户重定向为使用https。

目标:用户输入凭据后，我们希望使用http将用户重定向到主页。

我理解安全风险--中间的人，劫持事件等等。

我不能使用spring安全--在游戏中已经太晚了--版本即将发布，https的性能糟糕透顶。

另外，我们的应用程序有一个“更改密码”usecase --用户从主页的菜单中访问"changepassword.jsp“，我想我应该使用https将用户重定向到"changepassword.jsp”。在确认密码更改后，再使用http将用户重定向回主页。思想？

怎么做呢？--有可用的示例代码吗？

更新1：我从

1) http://tomcat.10.n6.nabble.com/Session-lost-when-switching-from-https-to-http-after-upgrade-to-Tomcat-6-td2105781.html

2) http://tomcat.10.n6.nabble.com/how-to-auto-redirect-to-https-from-http-td2087325.html

https://forums.oracle.com/forums/thread.jspa?threadID=1394970编码(Cabir)

我该期待什么呢？

Answer 1

你说“我知道Security可以做到这一点”，但实际上Security并没有做什么特别的事情。它只是执行一个重定向到HTTPS，这是您自己正在做的。如果使用安全cookie创建会话，然后切换回HTTP，则会丢失会话。这在弹簧安全常见问题中得到了解释。正如它所解释的，如果您在重定向到HTTPS之前创建了一个会话，那么会话cookie将不会被标记为安全，并且将通过HTTP和HTTPS传递，从而维护整个会话。

我能想到的唯一其他选项是使用mod_headers或其等效的方法来修改Set-Cookie标头，并在存在Secure标志的情况下删除它。下面是一个示例这正好相反，将标志添加到所有cookie中。

顺便说一句，你试过使用HTTPS优化站点的性能吗？如果您的内容和用户帐户中有任何实际价值，那么您应该在整个应用程序中使用它。

Answer 2

“会话劫持”是指在不同的语境中发生的不同的事情。您正在考虑一个系统，在这个系统中，我可以在10分钟内使用WireShark劫持一个会话，而以前没有任何经验。我只需要得到未加密的cookie，并将其复制到Chrome中。这似乎是一个太低的进入壁垒。

您应该重新考虑https的性能影响，它可能是http 2.0的必要部分 (抱歉，PDF)。文件(第32-33页)：

在我们生产的前端机器上，SSL/TLS所占的CPU负载不足1%，每个连接的内存不足10 On，网络开销不到2% - Adam Langley (Google)。

如果性能有问题，我将花费10分钟在服务器中配置SPDY，而不是避免https。

Answer 3

是否可以在Tomcat前面放置一个？

如果您配置了一个反向代理，您可以让Apache处理SSL流量。

通过这种方式，您可以将登录请求重定向并将密码页更改为HTTPS。