如何使用 Apache cxf / jaxrs 拒绝非 https 请求

Question

我需要做什么： 我需要弄清楚如何拒绝任何不通过 TLS（即 https）的传入 http 请求。理想情况下，如果请求不是通过 https，我将能够返回 404（未找到）的 http 状态。

我的实现是什么样的： 我正在使用 Apache cxf / jaxrs 实现 REST 服务。 我正在使用 Spring 的 IoC 来创建服务。

Spring 应用程序上下文文件中的服务定义如下所示：

<jaxrs:server id="testSvc" address="/">
    <jaxrs:serviceBeans>
        <ref bean="svcBean"/>
    </jaxrs:serviceBeans>    
</jaxrs:server>

服务在 Tomcat 内部运行。

我正在考虑使用简单的 servlet 过滤器或 jax-rs 过滤器（例如，扩展 javax.ws.rs.container.ContainerRequestFilter 的东西）。

有没有更好的方法来做到这一点？

Answer 1

您只能在 SSL/TLS 上发布 tomcat，但我来宾您不能这样做，因此您可以检测您是否处于 SSL 会话中。要从请求中访问 SSL 会话 ID，请使用：

//Tomcat 6
String sslID = (String)request.getAttribute("javax.servlet.request.ssl_session"); 

//Tomcat 7
String sslID = (String)request.getAttribute("javax.servlet.request.ssl_session_id"); 

见tomcat SSL documentation

最后在 CXF 中设置ContainerRequestFilter 以访问请求参数并在需要时中止响应

public class SSLFilter implements ContainerRequestFilter {

   public void filter(ContainerRequestContext context) {

       //get current httpservletRequest from CXFMessage
       Message message = JAXRSUtils.getCurrentMessage();
       HttpServletRequest request = (HttpServletRequest) message.get(AbstractHTTPDestination.HTTP_REQUEST);

       //Get SSL session ID
       String sslID = (String)request.getAttribute("javax.servlet.request.ssl_session"); 

      // finally use context.abortWith(Response) if you need to block the request 
       if (sslId == null){
           Response response =   Response.status(Response.Status.UNAUTHORIZED).build();
           context.abortWith(response);
       }
  }

将provider 添加到您的服务器

<bean id="sslFilter" class="SSLFilter">
<jaxrs:server id="testSvc" address="/">
   <jaxrs:providers>
      <ref bean="sslFilter" />
   </jaxrs:providers>
</jaxrs:server>