tomcat - 仅对基于 servlet 的 webapp 中的某些页面使用 HTTPS

Question

我有一个在 Tomcat 6 服务器上运行的基于 servlet 的 webapp。 URL 方案是 HTTPS。整个网站目前都在 HTTPS 上提供服务。但我真正想做的是仅为某些操作(如购买和登录)设置 HTTPS。 Tomcat 中是否有任何配置可以帮助我轻松地做到这一点？

是否需要更改任何代码才能跨 HTTPS 和 HTTP 保持 session ？

Answer 1

实际上，理想情况下，这是在您的网络应用程序的 web.xml 文件中配置的。您只需将某些应该安全的 URL 指定为 <security-constraint><web-resource-collection>并将 HTTPS 要求指定为 <transport-guarantee>值为 CONFIDENTIAL .容器将透明地管理重定向。简单。

<security-constraint>
  <web-resource-collection>
     <web-resource-name>My Secure Stuff</web-resource-name>
     <url-pattern>/some/secure/stuff/*</url-pattern>
     <url-pattern>/other/secure/stuff/*</url-pattern>
     ...
  </web-resource-collection>
  <user-data-constraint>
     <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  </user-data-constraint>
</security-constraint>