如何强制只使用 SSL 打开一页？

Question

在我的项目中，我使用 SSL，但它适用于所有页面。我只想将它用于登录页面，在该页面之后它应该恢复为 HTTP 协议。我怎样才能做到这一点？我在下面找到了一种方法，但它不起作用。

    <security-constraint>
    <web-resource-collection>
        <web-resource-name>Notify page, accessed internally by application</web-resource-name>
        <url-pattern>/Login.xhtml</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Entire Site</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>NONE</transport-guarantee>
    </user-data-constraint>
</security-constraint>

我的项目是一个 JSF 2.0 项目，我使用的是 Eclipse Helios 和 Tomcat 7.0。

谢谢。

Answer 1

这是不可能的。当会话由 HTTPS 请求创建时，它不适用于 HTTP 请求。最好的办法是在登录期间自己创建一个非安全 cookie，并通过它来维护登录。

Map<String, Object> properties = new HashMap<String, Object>();
properties.put("secure", false);
externalContext.addResponseCookie(name, value, properties);

但是再想一想，那么 HTTPS 登录的意义何在？如果您在 HTTPS 之后返回 HTTP 并且希望用户保持登录状态，那么您需要将会话 cookie 设置为不安全。这样，黑客仍然可以嗅探 cookie 中的会话 ID 以进行session fixation hack。通过 HTTPS 登录只能防止黑客了解实际的用户名/密码，但一旦黑客在 cookie 中计算出会话 ID，这将不再有任何意义。

我会说，忘记开关并在登录后一直坚持使用 HTTPS。