java - 是否有可能根据 URL 同时为同一个 Web 应用程序使用一种方式和相互 SSL

Question

我有一个场景，其中我几乎没有其他 web 服务，其中很少需要强制执行相互 ssl，很少应该只有一种方式 ssl，这里是相同的 web 应用程序。

在基于 tomcat/Spring 的应用程序中这可能吗？

Answer 1

抱歉回复晚了，是的，我这样做了，不确定是否是最好的方法，但有点乱。

第 1 步:在您的 tomcat 中使用 clientAuth=want 设置 SSL 的一种方式。这将解决您的场景，您希望所有 web 服务的一种方式 ssl 接受需要额外/相互身份验证的方式。

第 2 步:现在是需要相互 ssl 的 Web 服务。编写一个 servlet 过滤器，并针对特定的 Web 服务 url 检查传入的 http 证书请求。遍历在请求中找到的证书并将其与来自您的信任库的证书进行匹配。如果找到匹配项，则继续请求流程，如果没有找到匹配项，则返回异常，因为未找到 SSL 证书。

X509Certificate[] certificates = (X509Certificate[]) request
                    .getAttribute("javax.servlet.request.X509Certificate");

以上代码将在您的请求中为您提供一系列证书。

注意:确保您的 SSL 配置正确，否则证书变量保持为空。