java - tomcat webapp如何在没有spring security的情况下切换到https并返回http

Question

使用 Tomcat 7.0.32，我们有一个登录页面，默认情况下，用户通过 http 访问。我们立即将用户重定向到使用 https。
目标:用户输入凭据后，我们希望使用 http 将用户重定向到主页。

我了解安全风险——中间人、 session 劫持等。

我不能使用 spring security——在游戏中为时已晚——即将发布，而 https 性能很糟糕。

另外，我们的应用程序有一个“更改密码”用例——用户从主页的菜单访问“changepassword.jsp”，我想我应该使用 https 将用户重定向到“changepassword.jsp”。确认密码更改后，使用 http 再次将用户重定向回主页。想法？

如何去做 - 是否有可用的示例代码？

更新 1:我已经从
了解到这个问题1) http://tomcat.10.n6.nabble.com/Session-lost-when-switching-from-https-to-http-after-upgrade-to-Tomcat-6-td2105781.html
2) http://tomcat.10.n6.nabble.com/how-to-auto-redirect-to-https-from-http-td2087325.html

代码来自 https://forums.oracle.com/forums/thread.jspa?threadID=1394970 (卡比尔)

我应该期待什么陷阱？

Answer 1

你说“我知道 Spring Security 可以”，但实际上 Spring Security 并没有做什么特别的事情。它只是执行重定向到 HTTPS，这是您自己做的。如果您使用安全 cookie 创建 session ，然后切换回 HTTP，您将丢失该 session 。这在 Spring Security FAQ 中有解释。 .正如它所解释的，如果您在重定向到 HTTPS 之前创建一个 session ，那么 session cookie 将不会被标记为安全的，并且将通过 HTTP 和 HTTPS 传递，从而在整个过程中保持 session 。

我能想到的唯一其他选择是使用 mod_headers 或其等效项来修改 Set-Cookie header 并删除 Secure 标志(如果存在)。这是一个例子 which does the opposite , 将标志添加到所有 cookie。

顺便说一句，你有没有试过performance tuning your site with HTTPS ？如果您的内容和用户帐户有任何真正的值(value)，您真的应该在整个应用程序中使用它。