Настройте SSL для входа в систему только через веб-приложение Tomcat.

Question

Можно ли настроить Tomcat (или мое веб-приложение, если оно сделано таким образом) на требование SSL для конфиденциальности встроенного механизма входа в систему на основе форм?

т.е. защитить учетные данные пользователей и использовать стандартный http для любых других транзакций?

Answer 1

Вы можете поместить свои формы входа в свой собственный каталог и просто требовать SSL для каталога,

<security-constraint>
  <display-name>Login Pages</display-name>
  <web-resource-collection>
     <web-resource-name>Login</web-resource-name>
     <url-pattern>/login/*</url-pattern>
     <http-method>POST</http-method>
  </web-resource-collection>
  <user-data-constraint>
     <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  </user-data-constraint>
</security-constraint>

Убедитесь, что ваш логин находится по этому пути,

<login-config>
  <auth-method>FORM</auth-method>
  <form-login-config>
    <form-login-page>/login/form_login.jsp</form-login-page>
    <form-error-page>/login/error.jsp</form-error-page>
  </form-login-config>
</login-config>

Конечно, вам нужно настроить коннектор SSL на вашем Tomcat.