Tomcat https POST 数据

Question

我正在使用 Spring MVC 创建一个 Web 应用程序，以在 Tomcat 7 中运行。我在登录页面上有一个 POST 请求，发送到/account/login，我想通过 https 发送该请求。

在我的 web.xml 中我有:

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Login</web-resource-name>
        <url-pattern>/account/login</url-pattern>
    </web-resource-collection>

    <web-resource-collection>
        <web-resource-name>Login-Error</web-resource-name>
        <url-pattern>/account/login-error</url-pattern>
    </web-resource-collection>

    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

在 tomcat server.xml 中我有一个 https 连接器:

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
    SSLEnabled="true" maxThreads="150" scheme="https"
    secure="true" clientAuth="false" sslProtocol="TLS"
    keystoreFile="/path/to/my.cert" keystorePass="password" />

当我点击登录页面时，协议(protocol)始终是 https，并且登录过程本身工作正常。

但是，当我使用firefox插件“tamper data”检查POST请求时，用户名和密码是纯文本的。我原以为它们会被加密 - 我错过了什么吗？

Answer 1

我不确定，但 SSL 在网络层工作，因此从应用层流向 ssl 层的数据未加密，然后数据包被加密。这可能是您能够以纯文本形式查看数据的原因。