Chinaunix首页 | 论坛 | 博客

树欲静而风不止btpka3.blog.chinaunix.net

首页　| 　博文目录　| 　关于我

btpka3

  • 博客访问： 517942
  • 博文数量： 135
  • 博客积分： 3568
  • 博客等级： 中校
  • 技术积分： 1942
  • 用 户 组： 普通用户
  • 注册时间： 2006-10-19 17:52
文章分类

全部博文（135）

文章存档

2012年（29）

2011年（41）

2010年（26）

2009年（12）

2008年（9）

2007年（12）

2006年（6）

我的朋友
最近访客
推荐博文
相关博文
强制 SSL （HTTPS）Filter

分类： Java

2011-05-27 09:57:08

-------------------------
汗，无知真可怕，Servlert规范中已经有自动跳转到保护页面（Http -> Https）的方法了：
web.xml （SSL）
  1. ...
  2. <security-constraint>
  3.     <display-name>Test Auth</display-name>
  4.     <web-resource-collection>
  5.       <web-resource-name>Protected Area</web-resource-name>
  6.       <url-pattern>/*</url-pattern> <!-- 整站SSL -->
  7.       <http-method>DELETE</http-method>
  8.       <http-method>GET</http-method>
  9.       <http-method>POST</http-method>
  10.       <http-method>PUT</http-method>
  11.     </web-resource-collection>
  12.     <user-data-constraint>
  13.       <description>SSL required</description>
  14.       <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  15.     </user-data-constraint>
  16.   </security-constraint>
  17. ...
参考：
CONFIDENTIAL - 要保证服务器和client之间传输的数据不能够被修改，且不能被第三方查看到。
INTEGRAL     - 要保证服务器和client之间传输的数据不能够被修改。
NONE         - 指示容器必须能够在任一的连接上提供数据。（也即，到底是用HTTP，还是是用HTTPS，由Client端决定）
而前两者在实际应用的时候，一般都是是用HTTPS。


web.xml（Basic 认证 + SSL）
  1. ...
  2. <security-constraint>
  3.     <display-name>Test Auth</display-name>
  4.     <web-resource-collection>
  5.       <web-resource-name>Protected Area</web-resource-name>
  6.       <url-pattern>/auth/*</url-pattern>
  7.       <http-method>DELETE</http-method>
  8.       <http-method>GET</http-method>
  9.       <http-method>POST</http-method>
  10.       <http-method>PUT</http-method>
  11.     </web-resource-collection>
  12.     <auth-constraint>
  13.       <role-name>ADMIN</role-name>
  14.       <role-name>USER</role-name>
  15.     </auth-constraint>
  16.     <user-data-constraint>
  17.       <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  18.     </user-data-constraint>
  19.   </security-constraint>
  20. ...

补充：哎，可是，写的一个文件下载的例子（AnyChart是用的一个xml数据文件），使用HTTPS的时候，在IE6下，无法加载该XML文件。然后在IE 6 的地址栏中直接访问该URL，发现：在提示的保存弹出窗口中，点击“打开”是能够看到源代码的，但是点击“保存”却报错。郁闷~~~~~
（昨天在开源中国社区看到一则消息，了~~~，下面的评论，看后，无奈~）
看了两个帖子，先记个地址，之后再验证是否能解决偶的问题吧~
http://soido.org/blog/16
http://lgjmfyx.blog.163.com/blog/static/46955077200901710712331/





回头想想前面的工作真可笑。
--------------------------
在Web工程中，如果使用HTTP Basic认证，或FORM认证，为了安全性，最好使用HTTPS的。
因此我们需要禁止HTTP访问，只能HTTPS访问。

如果大家感兴趣，可以研究下Spring Security（偶也不懂，貌似它能做到HTTPS与HTTP Session共享）。

先了解一下URL和URI在java.net.* 包中的用法和区别。详尽描述请参考Javadoc描述：

URLTest.java
  1. package me.test;

  3. import java.net.URI;
  4. import java.net.URL;

  6. public class URLTest {

  8.     public static void main(String[] args) throws Exception {
  9.         URL u1 = new URL(
  10.                 "ftp://zhang3:123456@192.168.1.1:556/zhang.txt?k1=v1&k2=v2#aa");
  11.         System.out.println(u1.toString());
  12.         System.out.println(u1.toExternalForm());
  13.         System.out.println(u1.toURI());

  15.         URL u2 = new URL(
  16.                 "https",
  17.                 u1.getHost(),
  18.                 8443,
  19.                 u1.getFile());
  20.         // 以下三行的数据均为：
  21.         //
  22.         System.out.println(u2.toString());
  23.         System.out.println(u2.toExternalForm());
  24.         System.out.println(u2.toURI());

  26.         System.out.println("----------------");
  27.         URI i1 = new URI(
  28.                 "ftp://zhang3:123456@192.168.1.1:556/zhang.txt?k1=v1&k2=v2#aa");
  29.         URI i2 = new URI(
  30.                 "https",
  31.                 i1.getUserInfo(),
  32.                 i1.getHost(),
  33.                 8443,
  34.                 i1.getPath(),
  35.                 i1.getQuery(),
  36.                 i1.getFragment());
  37.         // 以下两行均输出
  38.         //
  39.         System.out.println(i2.toURL());
  40.         System.out.println(i2.toString());
  41.     }

  43. }


以下是偶的Filter：
ForceSSLFilter.java
  1. /*
  2.  * @(#)ForceSSLFilter.java
  3.  *
  4.  * Copyright (c) 2011, Digital Yingtan Construction Committee.
  5.  */

  7. package me.test;

  9. import java.io.IOException;
  10. import java.net.URI;
  11. import java.net.URISyntaxException;
  12. import java.util.ArrayList;
  13. import java.util.List;
  14. import java.util.regex.Pattern;

  16. import javax.servlet.Filter;
  17. import javax.servlet.FilterChain;
  18. import javax.servlet.FilterConfig;
  19. import javax.servlet.ServletException;
  20. import javax.servlet.ServletRequest;
  21. import javax.servlet.ServletResponse;
  22. import javax.servlet.http.HttpServletRequest;
  23. import javax.servlet.http.HttpServletResponse;

  25. import org.apache.commons.lang.StringUtils;

  27. /**
  28.  * 对某些路径强制使用SSL的Filter。
  29.  * 如果请求的URL不是 https，则会使其重定向到相应的https路径上。
  30.  *
  31.  * 注意：此Filter目前只能用于无状态的WebService等路径。因为https与http在Tomcat等
  32.  * Servlet容器中会使用不同的SESSION。
  33.  *
  34.  * @author 张亮亮 2011/05/26 新建
  35.  */
  36. public class ForceSSLFilter implements Filter {

  38.     /** 需要强制使用SSL的路径。 */
  39.     protected List<String> sslPaths = null;

  41.     /** 不需要强制使用SSL的路径。 */
  42.     protected List<String> noSslPaths = null;

  44.     /** SSL的端口。 */
  45.     protected int sslPort = 443;

  47.     /** 是否使用重定向。 */
  48.     protected boolean usingRedirect = true;

  50.     /**
  51.      * 获得初始值。
  52.      *
  53.      * @param fc 配置信息
  54.      */
  55.     public void init(FilterConfig fc) throws ServletException {

  57.         // 参数：需要强制使用SSL的路径
  58.         String paths = fc.getInitParameter("sslPaths");
  59.         sslPaths = new ArrayList<String>();
  60.         if (StringUtils.isNotBlank(paths)) {
  61.             for (String regexStr : paths.split(",")) {
  62.                 if (StringUtils.isNotBlank(regexStr)) {
  63.                     sslPaths.add(regexStr.trim());
  64.                 }
  65.             }
  66.         }

  68.         // 参数：不需要强制使用SSL的路径
  69.         paths = fc.getInitParameter("noSslPaths");
  70.         noSslPaths = new ArrayList<String>();
  71.         if (StringUtils.isNotBlank(paths)) {
  72.             for (String regexStr : paths.split(",")) {
  73.                 if (StringUtils.isNotBlank(regexStr)) {
  74.                     noSslPaths.add(regexStr.trim());
  75.                 }
  76.             }
  77.         }

  79.         // 参数：SSL的端口
  80.         String port = fc.getInitParameter("sslPort");
  81.         if (StringUtils.isNotBlank(port)) {
  82.             sslPort = Integer.valueOf(port);
  83.         }

  85.         // 参数：是否使用重定向

  87.         String redirect = fc.getInitParameter("usingRedirect");
  88.         if (StringUtils.isNotBlank(redirect)) {
  89.             usingRedirect = Boolean.valueOf(redirect);
  90.         }
  91.     }

  93.     /**
  94.      *
  95.      */
  96.     public void destroy() {

  98.     }

  100.     /**
  101.      *单点登录主要处理方法。
  102.      *
  103.      * @param req 请求
  104.      * @param resp 响应
  105.      * @param filterChain 响应链
  106.      */
  107.     public void doFilter(ServletRequest req, ServletResponse resp,
  108.             FilterChain filterChain) throws IOException, ServletException {
  109.         HttpServletRequest request = (HttpServletRequest) req;
  110.         HttpServletResponse response = (HttpServletResponse) resp;

  112.         String servletPath = request.getServletPath();

  114.         // 不需要SSL?
  115.         boolean needFilter = true;
  116.         for (String regexStr : noSslPaths) {
  117.             if (Pattern.matches(regexStr, servletPath)) {
  118.                 needFilter = false;
  119.                 break;
  120.             }
  121.         }

  123.         if (needFilter && !request.isSecure()) {

  125.             // 是否需要强制SSL?
  126.             boolean needRedirect = false;
  127.             for (String regexStr : sslPaths) {
  128.                 if (Pattern.matches(regexStr, servletPath)) {
  129.                     needRedirect = true;
  130.                     break;

  132.                 }
  133.             }

  135.             // 进行跳转
  136.             if (needRedirect) {
  137.                 if (usingRedirect) {
  138.                     try {
  139.                         URI reqUri = new URI(request.getRequestURL().toString());
  140.                         URI newUri = new URI("https", reqUri.getUserInfo(),
  141.                                 reqUri.getHost(), sslPort, reqUri.getPath(),
  142.                                 reqUri.getQuery(), reqUri.getFragment());
  143.                        
  144.                         response.sendRedirect(newUri.toString());
  145.                         response.flushBuffer();
  146.                         return;
  147.                     } catch (URISyntaxException e) {
  148.                         throw new RuntimeException("请求的URL格式不正确。", e);
  149.                     }
  150.                 } else {
  151.                     response.sendError(403, "此URL必须使用HTTPS访问。");
  152.                     return;
  153.                 }
  154.             }
  155.         }

  157.         filterChain.doFilter(request, response);
  158.     }
  159. }

web.xml中的配置
  1. ...

  3. <filter>
  4.     <filter-name>forceSSLFilter</filter-name>
  5.     <filter-class>
  6.       me.test.ForceSSLFilter
  7.     </filter-class>
  8.     <init-param>
  9.        <param-name>sslPaths</param-name>
  10.        <param-value>/auth/.*</param-value>
  11.     </init-param>
  12.     <init-param>
  13.        <param-name>noSslPaths</param-name>
  14.        <param-value>/auth/1/.*</param-value>
  15.     </init-param>
  16.     <init-param>
  17.        <param-name>sslPort</param-name>
  18.        <param-value>8443</param-value>
  19.     </init-param>
  20.     <init-param>
  21.        <param-name>usingRedirect</param-name>
  22.        <param-value>false</param-value>
  23.     </init-param>
  24.   </filter>

  26. ...

不足：Basic认证优先被Servlet容器处理，所以，会造成以下情况；
1. 用户在使用http访问必须要https访问的路径时，被提示输入用户名，密码
2. 然后，显示错误信息（“403 此URL必须使用HTTPS访问” - 如果 web.xml 中usingRedirect为false
或者 跳转到https的访问路径上，但又被要求重新输入一次密码 ）








阅读(1554) | 评论(0) | 转发(0) |
0

上一篇：Tomcat SSL

下一篇：Tomcat 和 WebLogic配置 context-root

给主人留下些什么吧！~~
关于我们 | 关于IT168 | 联系方式 | 广告合作 | 法律声明 | 免费注册

Copyright 2001-2010 ChinaUnix.net All Rights Reserved 北京皓辰网域网络信息技术有限公司. 版权所有

感谢所有关心和支持过ChinaUnix的朋友们

16024965号-6