Настройте SSL для работы с веб-приложением Java на сервере Tomcat 5.5

Question

Это небольшой вопрос, но что мне нужно, чтобы SSL работал в моем веб-приложении Java (стандартное веб-приложение Java, использующее Stripes для реализации MVC, Spring и Hibernate)?

Я развертываю свой военный файл на Tomcat 5.5. Я хочу, чтобы SSL использовался только для определенных URL-адресов - любых, которые передают пароль пользователя, - поэтому для регистрации учетной записи, изменения пароля и входа в систему.

Нужно ли мне просто получить сертификат SSL и установить его в Tomcat? Как убедиться, что https используется только для некоторых URL-адресов?

Answer 1

Нужно ли просто получить сертификат SSL и установить его в Tomcat?

Это действительно потребуется, и вам нужно будет настроить защищенный соединитель.

Как обеспечить использование https только для некоторых URL-адресов?

Рекомендация должна шифровать отправку формы (т. Е. Использовать абсолютные https:// URL-адреса в соответствующей форме action), но также сами страницы отправки формы, если вы хотитепредотвращайте атаки «человек посередине».

Поэтому используйте «защищенные» абсолютные ссылки везде, где вам нужно, и применяйте SSL для конкретного контента, используя ограничения безопасности в вашем web.xml:

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Secure Area</web-resource-name>
        <url-pattern>/secure/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint> 

Answer 2

Нужно ли просто получить сертификат SSL и установить его в Tomcat?

Руководство Tomcat содержит довольно простое руководство по настройке ts.

Как убедиться, что используется httpsтолько для некоторых URL?

Эта часть логики должна присутствовать в вашем приложении.Решение Божо, безусловно, подойдет, могут быть и другие решения, если вы используете определенные веб-фреймворки или нет.

Answer 3

Вы можете сделать Filter, который перенаправит на https:// для нужных вам URL.

Answer 4

Да, вам нужен сертификат SSL.Он может быть либо самоподписанным, либо выданным официально признанным центром сертификации.

Вот хорошее руководство по общей настройке SSL в Tomcat и по изменению дескриптора развертывания для включения SSL: http://www.jroller.com/gmazza/entry/setting_up_ssl_and_basic