httpd 和 tomcat 之间的通信安全吗？

Question

我们有一个应用在tomcat 8080端口上运行，我们在Apache httpd前面，安装并实现了SSL，所有请求都重定向到443端口，并通过mod_proxy_httpd代理到tomcat 8080：

ProxyPass / http://localhost:8080/ retry=0 timeout=5
ProxyPassReverse / http://localhost:8080/

一切正常，从客户端到 httpd 的请求是安全的，但是显然 httpd 和 tomcat 之间的通信没有加密。

我的问题是： 1.httpd和tomcat的通信不加密会不会有问题？如果httpd和tomcat在同一个服务器下？

2.我们在支付处理过程中传输敏感数据，例如客户信用卡信息，我们是否需要在tomcat上也实现SSL（例如端口8443），并将来自443的请求代理到安全的tomcat端口8443？因此，从客户端到 httpd 再到 tomcat 都将受到保护，但这可能会影响性能，因为需要 2 路加密/解密。

我们一直在搜索这个问题，但没有找到明确的答案。非常感谢任何帮助。

Answer 1

如果您坚持使用 localhost（例如，Apache httpd 与 tomcat 在同一台服务器上），这很可能是安全的：如果您不信任“localhost”网络的实现，则无法信任 TLS 实现同样的服务器。

通过在与 tomcat 不同的服务器上安装 Apache，您可能会获得性能。在这种情况下，您显然依赖于两者之间的网络：路由器、电缆等。如果您不信任您的网络，这可能是您可以解决的问题。但是，请注意，您可能在 tomcat 和文件系统（临时文件）、数据库等之间也有一些联系 - 使用传输加密，如果您不能信任您的数据中心/网络安全，数据仍然可能从该应用程序中泄漏。

我们无法判断您对网络的信任程度，您必须自己做。

请注意，在您在问题中提到的情况下，当您仅在 http 上转发时，tomcat 将不知道已在 https 中建立连接（例如：浏览器 -> Apache 是 https，Apache -> tomcat 是 http）

您可以配置 tomcat 的连接器以假定连接是安全的（查找 connector's documentation 上的 secure 属性），但这也意味着您绝对需要确保永远不允许转发 http 连接到那个连接器。检查 AJP（不同的协议）是否适合您 - 它会将所有 HTTP(S) 连接的属性正确转发到 tomcat。有些人喜欢（其中包括我），有些人不喜欢。