java - Tomcat 7 GWT 应用 ssl 配置

Question

我正在处理托管在 tomcat 7 上的 gwt 项目，现在我在我自己的 tomcat 服务器上使用私有(private) ssl。我使用以下设置在 server.xml 中应用 ssl。

 <Connector port="12004" protocol="HTTP/1.1" 
           connectionTimeout="20000" 
           redirectPort="8443" />
 <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
           maxThreads="150" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS" keystoreFile= "/home/ssl/keystore.jks" keystorePass="PASSWORD"/>

  <Host name="myapp.com" appBase="/home/jvm/apache-tomcat-7.0.35/domains/myapp.com" unpackWARs="true" autoDeploy="true"   xmlValidation="false" xmlNamespaceAware="false">
    <Alias>www.myapp.com</Alias>
  </Host>

这可以正常工作，但我认为这对 perfomece 不利。因为所有编译的 gwt 代码和图像和 css 也用 ssl 加密，根据我的说法，这不是必需的。应该只有对服务器的数据调用应该加密。那么我该怎么做呢？有什么办法可以将 fillter 放入 ssl 中，这样我就可以加快我的应用程序的速度。或任何其他方式来做到这一点。？如果我用错了方法，请建议我在 tomcat 上使用 SSL 和 GWT 应用程序的最佳实践。谢谢。

Answer 1

如果您在 HTTPS 上有您的 servlet(例如 GWT-RPC、RequestFactory 等)，那么您也必须从 HTTPS 提供您的 HTML 页面(由于 Same Origin Policy)。

但是，您可以从 HTTP 提供 JavaScript、CSS 等文件。只需让您的 HTML 页面中的链接指向您的 JS/...-文件的 HTTP 版本，并确保使用跨站点 (xsiframe) 链接器编译 GWT 代码:

<add-linker name="xsiframe"/>

然而，会出现的小问题是用户的浏览器会警告该站点已加密，但包含不安全的资源。这看起来不是很专业(实际上，这是一个比较高的安全风险)，但另一方面，许多(甚至是老牌)网站仍然使用这种方式。