¿Cómo desarrollar el sitio https con Spring 3.x?

Question

Soy un novato en el desarrollo web basado en Spring.

Nuestro sitio está basado en Spring y actualmente está basado en http (por lo que es bastante inseguro). Dado que el sitio aún no está activo, estamos enviando inicio de sesión/contraseña también a través de una solicitud JSON normal al servidor y nos hemos centrado principalmente en JSP, diseño de interfaz de usuario, consultas SQL, etc.

Ahora, queremos cambiar al enfoque en seguridad y cambiar a https como primer paso.

He leído un no. de páginas web y algunos libros de primavera, pero ninguno parece proporcionar una respuesta clara sobre cómo se puede utilizar Spring para proporcionar seguridad https. ¿Puede alguien ayudarme a lograr lo anterior?

Háganme saber si mi pregunta no es clara. Trataré de agregar más detalles CUANTO ANTES.

Nuestra web.xml es el siguiente:

<?xml version="1.0" encoding="UTF-8"?> 
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
xmlns="http://java.sun.com/xml/ns/javaee" 
xmlns:web="http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd" 
xmlns:mvc="http://www.springframework.org/schema/mvc" 
xsi:schemaLocation=" 
    http://java.sun.com/xml/ns/javaee 
    http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd 
    http://www.springframework.org/schema/mvc 
    http://www.springframework.org/schema/mvc/spring-mvc-3.0.xsd  
" 
id="WebApp_ID" version="2.5"> 

<display-name>Spring3MVC</display-name> 
<welcome-file-list> 
    <welcome-file>index.html</welcome-file> 
</welcome-file-list> 

<servlet> 
    <servlet-name>spring</servlet-name> 
    <servlet-class> 
     org.springframework.web.servlet.DispatcherServlet 
    </servlet-class> 
    <load-on-startup>1</load-on-startup> 
</servlet> 
<servlet-mapping> 
    <servlet-name>spring</servlet-name> 
    <url-pattern>*.html</url-pattern> 
</servlet-mapping> 

<!--> Mapping for serving static web-content <--> 
<!--> The resources folder must be in parallel to WEB-INF <--> 
<!--> The mvc:resources gives "not bound" exception unless bound to a namespace as above for xmlns:mvc <--> 
<mvc:resources mapping="/resources/**" location="/resources/" /> 
<mvc:resources mapping="/scripts/**" location="/scripts/" /> 

</web-app> 

Sólo hay un controlador en este momento para el cual, primavera-servlet.xml es el siguiente:

<?xml version="1.0" encoding="UTF-8"?> 
<beans xmlns="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xmlns:p="http://www.springframework.org/schema/p" 
    xmlns:context="http://www.springframework.org/schema/context" 
    xsi:schemaLocation="http://www.springframework.org/schema/beans 
     http://www.springframework.org/schema/beans/spring-beans-3.0.xsd 
     http://www.springframework.org/schema/context 
     http://www.springframework.org/schema/context/spring-context-3.0.xsd"> 

<context:component-scan 
    base-package="console.controllerpkg" /> 

<bean id="viewResolver" 
    class="org.springframework.web.servlet.view.UrlBasedViewResolver"> 
    <property name="viewClass" 
     value="org.springframework.web.servlet.view.JstlView" /> 
    <property name="prefix" value="/WEB-INF/jsp/" /> 
    <property name="suffix" value=".jsp" /> 
</bean> 

</beans> 

Muchas gracias de antemano !

P.S. Si me puede recomendar un buen sitio/libro basado en ejemplos en la primavera, sería muy apreciado. La mayoría de los sitios/libros que he visto ponen mucho énfasis en la teoría, pero muy pocos ejemplos. Eso me ha dejado un poco confundido.

Answer 1

Como dice Dave, debe configurar su contenedor para que sirva SSL, y luego implementar su aplicación de primavera en ese contenedor. Aprender acerca de la configuración Tomcat for SSL.

Alternativamente, y de forma más flexible que pueda front your container using Apache y enable SSL there.

Answer 2

Spring no es 100% responsable de configurar SSL. Para eso, necesita configurar el contenedor (embarcadero, tomcat, etc.) para manejar SSL.

Answer 3

Configurar dos sitios web diferentes, una para HTTP y otro para https, el de http tendrá sólo una redirección al sitio https .

Answer 4

Gracias por toda la ayuda muchachos. Voy a reiterar lo que hice solo para mi propio registro.

En primer lugar, el enlace proporcionado por nont sobre 'Tomcat para SSL' fue realmente útil. leí todo sobre SSL y Tomcat allí y esto es lo que hice:

En el símbolo del sistema, escriba: herramienta de claves -genkey -alias Tomcat -keyalg RSA El comando anterior me hizo algunas preguntas simples y necesarios para un certificado. Utilicé la contraseña 'changeit' siempre que me pidieron (ya que esa es la contraseña predeterminada).

Al terminar con el comando anterior, se genera un archivo de almacén de claves en C:./Documents and Settings // almacén de claves He copiado este archivo .keystore a tomcat/conf/myKeyStore.jks

Luego añade el siguiente para conf/server.xml:

<Connector protocol="org.apache.coyote.http11.Http11Protocol" 
    port="8443" minSpareThreads="5" 
    maxSpareThreads="75" 
    enableLookups="true" 
    disableUploadTimeout="true" 
    acceptCount="100" 
    maxThreads="200" debug="5" 
    scheme="https" secure="true" SSLEnabled="true" 
    keystoreFile="${catalina.home}/conf/myKeyStore.jks" 
    keystoreType="JKS" keystorePass="changeit" 
    truststoreFile="${catalina.home}/conf/cacerts" 
    truststoreType="JKS" truststorePass="changeit" 
    SSLVerifyClient="require" SSLEngine="on" SSLVerifyDepth="2" 
    sslProtocol="TLS" /> 

Y eso es todo! La próxima vez, ejecuté tomcat mi antiguo enlace http no funcionó. Luego traté de agregar sweet 's' a http con un número de puerto de 8443 y ¡listo! todo estaba funcionando nuevamente.

Gracias no por el maravilloso enlace !!