spring mvc 之 login模块使用https，其他模块使用http的实现的坑。

待我称王封你为后i 2022-11-02 14:29 132阅读 0赞

关键描述：spring mvc 之 login登录模块使用https实现，登录成功之后，重定向到其他模块，其他模块的请求依旧使用http的实现，这里面涉及到cookie的坑。在浏览器的network里面看到 http only的关键词  
一.场景：  
　　在企业内网应用，以及一些安全要求不高的网站会有一些https转http的需求，例如只是登陆https协议，其他请求都是走http协议,走http协议不再需要重新登陆一次。  
二.解决方案  
　　Cookie时效：  
　　当cookie是secure的情况下，当服务器从https协议重定向到http协议后，这样的cookie就不会随请求发送到服务器。  
　　当cookie不是secure的情况下,当服务器从http协议重定向到https协议后，这样的cookie就不会随请求发送到服务器。  
所以解决的方法就是在https认证后，除了构造一个secure的cookie(包含session id信息)，同时构造一个非secure的cookie(包含session id信息)，这样页面跳转后就一致保持session有效了，从而达到https重定向到http后不需要登陆的效果。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzI3MDkzNDY1_size_16_color_FFFFFF_t_70][]

前端使用https访问https服务器（login模块），进行权限登录认知之后，在返回的时候，给response设置一下，然后重定向到其他http服务的模块去。这个时候，cookie就得设置一下，不然就不好了，仔细观察之前的多模块工作时候的network的请求的话可以看到多个类似这样的  
Cookie: JSESSIONID=DFA0B99FE489B56B3FF06620822D187E; JSESSIONID=3DF1B8AAE029D3DDF4741446B265C251  
但是换成一个https一个http之后就剩下一个了  
重定向跳转在页面中实现，而不在Authenticator实现，也不在Filter实现，因为Response已经commit。  
Filter实现增加非Secure cookie的逻辑，代码:

public class HttpsCookieFilter implements Filter {
        private static final Logger LOG = LoggerFactory.getLogger(HttpsCookieFilter.class);
    
        @Override
        public void destroy() {
        }
    
        @Override
        public void doFilter(ServletRequest request, ServletResponse response,
                             FilterChain chain) throws IOException, ServletException {
            final HttpServletRequest httpRequest = (HttpServletRequest) request;
            final HttpServletResponse httpResponse = (HttpServletResponse) response;
            final HttpSession session = httpRequest.getSession(false);
    
            // servlet3
            //if (session != null) {
            //    String sessionId = session.getId();
            //
            //    LOG.info("servlet3 -- HttpsCookieFilter set session cookie:{}", sessionId);
            //
            //    final Cookie cookie = new Cookie("JSESSIONID", sessionId);
            //    //no store
            //    cookie.setMaxAge(-1);
            //    cookie.setSecure(false);
            //    cookie.setPath(httpRequest.getContextPath());
            //    cookie.setHttpOnly(true);
            //    httpResponse.addCookie(cookie);
            //}
    
            //servlet2
            if (session != null) {
                String sessionId = session.getId();
                LOG.debug("servlet2 -- HttpsCookieFilter set session cookie:{}", sessionId);
    
                String name = "Set-Cookie";
                String value = "JSESSIONID=" + sessionId + "; Path=" + httpRequest.getContextPath() + "; HttpOnly";
                httpResponse.addHeader(name, value);
            }
    
            chain.doFilter(request, response);
        }
    
        @Override
        public void init(FilterConfig arg0) throws ServletException {
        }
    }

然后web.xml中设置一下filter

<filter>
            <filter-name>httpsCookieFilter</filter-name>
            <filter-class>com.x.x.login.interceptor.HttpsCookieFilter</filter-class>
        </filter>
        <filter-mapping>
            <filter-name>httpsCookieFilter</filter-name>
            <url-pattern>/*</url-pattern>
        </filter-mapping>

然后就差不多了

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzI3MDkzNDY1_size_16_color_FFFFFF_t_70]: /images/20221024/bc4559c87c7347d1b7c61422f2422e63.png