используя https экономно в моем приложении GAEJ - PullRequest
1 голос
/ 13 февраля 2012

У меня есть приложение GAEJ, которому до сих пор не приходилось иметь дело с конфиденциальными данными.По этой причине он успешно работает под http: // Я использую GWT-RPC для вызовов своего клиент-сервера.

Однако теперь я хочу начать хранить имена и адреса клиентов, для которых я хотел бы начатьиспользуя https.

Я понимаю ограничение на использование домена https://www.xxxxx.appspot.com/.

Мой вопрос заключается в том, как мне создать подраздел моего сайта, который имеет дело только сс чувствительными к клиенту данными, оставляя остальную часть моего сайта нетронутой?

Например, если я добавлю следующее ограничение безопасности в мой web.xml:

<security-constraint>
    <web-resource-collection>
          <url-pattern>/xxxxx/admin/*</url-pattern>
      </web-resource-collection>
    <user-data-constraint>
       <transport-guarantee>CONFIDENTIAL</transport-guarantee>
      </user-data-constraint>
 </security-constraint>

как я могу тогда сказатьприложение, чтобы использовать https только для определенных RPC, а не для всех?
Другими словами, можно ли оставить его так, чтобы мои пользователи по-прежнему обращались к моему сайту по http: http://www.xxxxx.appspot.com/ и когда они делаютRPC отправляет или получает конфиденциальные данные через https?

Должен ли я использовать RequestBuilder, чтобы мой GWT-RPC был https?но если я сделаю это, как мне обойти политику «Браузер - то же самое»?

Конечно, должен быть способ сделать это, это должно быть довольно распространенной проблемой?

1 Ответ

0 голосов
/ 14 февраля 2012

Междоменная политика для вызовов AJAX не позволит вам сделать RPC до https://blah, когда вы обслуживаете страницу с http://blah

Это можно преодолеть, используяiframe или такой заголовок:

Access-Control-Allow-Origin: https://www.mysite.com

, но я не знаю, возможно ли это на GWT.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...