java - Apache tomcat : Permanent redirect not working

Question

我已经在具有 https 的域上部署了一个 WAR 文件。目前，问题是如果我点击以下域:

https://www.domain-name.com
domain-name.com

然后我就没有问题了，但是一旦我尝试了:

https://domain-name.com

我收到不受信任的连接错误。为此，我决定在 WEB-INF 文件夹中添加一个 urlrewrite.xml 文件，并为 web.xml 添加以下设置:

urlrewrite.xml :

<urlrewrite>
    <rule>
        <from>https://domain-name.com</from>
        <to>https://www.domain-name.com</to>
    </rule>
</urlrewrite>

我在 web.xml 中添加了这个:

 <filter>
        <filter-name>UrlRewriteFilter</filter-name>
        <filter-class>org.tuckey.web.filters.urlrewrite.UrlRewriteFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>UrlRewriteFilter</filter-name>
        <url-pattern>/*</url-pattern>
        <dispatcher>REQUEST</dispatcher>
        <dispatcher>FORWARD</dispatcher>
    </filter-mapping>

POM.xml 中的依赖项:

   <!-- URL redirect dependency -->
        <dependency>
            <groupId>org.tuckey</groupId>
            <artifactId>urlrewritefilter</artifactId>
            <version>4.0.4</version>
        </dependency>

不幸的是，它没有帮助。我该如何解决这个问题？你能帮忙的话，我会很高兴。

编辑

请注意，我检查了证书，是否有匹配 www.domain-name.com 的 URL。这是我在 keystore 中找到的:

#8: ObjectId:IDCriticality=false
SubjectAlternativeName [
  DNSName: domain-name.com
  DNSName: www.domain-name.com
]

希望对您有所帮助。

Answer 1

url-rewrite 只能在请求到达服务器后运行。 TLS 握手(包括服务器向客户端出示其证书)是客户端(浏览器)检查服务器证书以查看其主机名是否匹配的地方。如果不匹配，浏览器将向用户显示错误。

只有几种方法可以避免这种情况:

1. 切勿在 URL 中使用裸域名(例如始终使用 www.domain-name.com)
2. 除了主要主题名称 www.domain-name.com 之外，为 domain-name.com 的证书添加一个“主题备用名称”
3. 获取“通配符”TLS 证书

更新

您的 TLS 证书中有 subject-alternative-name 吗？如果是这样，浏览器不应该提示主机名。

更新

The error message is:

Attackers might be trying to steal your information from domain-name.com (for example, passwords, messages, or credit cards).NET::ERR_CERT_COMMON_NAME_INVALID

Advanced :

This server could not prove that it is domain-name.com; its security certificate is from delink.de. This may be caused by a misconfiguration or an attacker intercepting your connection.

您的路由器正在对您与服务器的通信执行中间人攻击。您的服务器已正确配置(我检查过:没问题)。您应该禁用路由器上的任何代理或其他类似功能，并让它让您在不干扰您的情况下访问互联网。