tomcat - Tomcat 的安全约束配置是强制性的吗？

Question

为了在 Tomcat 下进行 SSL 配置测试，这都是强制性的吗？

下面这行摘自 website :

In order to do this for our test, take any application which has already been deployed successfully in Tomcat and first access it through http and https to see if it works fine. If yes, then open the web.xml of that application and just add this XML fragment before web-app ends i.e </web-app>:

<security-constraint>
    <web-resource-collection>
        <web-resource-name>securedapp</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

此配置是否必须在 web.xml 文件中执行？？

Answer 1

不，没有必要。这意味着您的 Web 应用程序仅可通过 HTTPS 访问(而不可通过 HTTP 访问)。

如果省略 <transport-guarantee>CONFIDENTIAL</transport-guarantee>标记(或整个 <security-constraint> )您的应用程序将通过 HTTP 和 HTTPS 可用。如果你的web.xml包含 <transport-guarantee>CONFIDENTIAL</transport-guarantee>如果您尝试使用 HTTP，Tomcat 会自动将请求重定向到 SSL 端口。

请注意，默认的 Tomcat 配置不启用 SSL 连接器，您必须手动启用它。检查SSL Configuration HOW-TO了解详情。