問題タブ [security-constraint]

呼び出しを http から https にリダイレクトしようとしています。

私のserver.xmlには、2つのホストがあります。

そして、/etc/tomcat7/web.xml に追加しました:

したがって、localhost ホストに送信されるすべてのリクエストは https にリダイレクトされますが、other.name に送信されるリクエストはリダイレクトされません。

私が望むのは、other.name へのリクエストのみが https にリダイレクトされることですが、どうすればそれを行うことができますか?

入れてみました

しかし、うまくいきませんでした。なにか提案を？

Restful WebサービスとJavaで開発されたWebアプリケーションがあります。ジャージー ライブラリを使用しています。私のチームはアプリケーションで Appscan ツールを実行しました。このツールには、https:///AppName/ で安全でない HTTP メソッドが有効になっていると表示されます。

編集：

1. ここで DELETE メソッドを無効にする方法を知りたいです。
2. サーバーにオプション要求を行うとき、ヘッダーの許可されたメソッドに削除メソッドをリストするべきではありません。前もって感謝します。

TAI インターセプターを使用しようとしていますが、同じアプリケーションが単一ノード クラスターで正常に動作していますが、複数ノード クラスターの場合、TAI が呼び出されず、代わりにデフォルト レルム資格情報の入力を求められます。

これが isTargetInterceptor メソッドです....

要求された URL 形式は

https://ホスト名:443/NASTAIClient/loginServlet?samlartifact=artifactstring

ポート番号を指定していなくても、WAS（単一ノード）で機能します。これは、機能していないWAS（マルチノード）で使用している実際の形式です

https://hostname/NASTAIClient/loginServlet?samlartifact=artifactstring

デフォルト レルムに適切な認証情報を指定すると、ブラウザで Ltpa Cookie が作成されます。

など、WS サブジェクトを作成します。しかし、TAI インターセプターが呼び出されません。動作中 (単一クラスター) の WAS と非動作中 (マルチクラスター) の WAS のさまざまなレベルのセキュリティ設定を比較しました。デフォルト レルムがプロンプトを表示する理由ではなく、TAI が呼び出されない理由について、特定の理由は見つかりませんでした。

Pivotal 3.1 サーバー (ポート 8080 および 8443) で Spring STS を使用しています。ボックスには、80 および 443 で実行される別の tomcat 7 インスタンスもあります。

Spring Boot 1.2.4 リリースを使用しています。

アプリケーションがすべてのリクエストを自動的に https にリダイレクトするようにしたい - 私は組み込みの tomcat インスタンスを使用していません。

以前は春を使用していましたが、web.xml にタグがあり、問題なく動作していました。

スプリングブートを使用して同じことを達成するにはどうすればよいですか?

ありがとう、エイドリアン

現在、Apache の CorsFilter を使用して web.xml で設定したクロス ドメイン リクエストを許可する Tomcat 8 で実行される REST API を構築しています。

これまでのところ簡単に、DIGEST 認証を Rest-API に追加したいと思いました。はい、ダイジェストは基本ではありません!

簡単な使用法として、web.xml でセキュリティ制約を使用したかったのです。

認証と CORS フィルターはそれ自体で正常に機能しますが、ここで問題が発生します。CORS フィルターの前にサーブレット コンテナーによってセキュリティ制約が実行されます。そのため、認証アルゴリズムはダイジェスト認証ヘッダーで必要な CORS (クロス ドメイン要求ヘッダー) を設定しません。その結果、CORS 要求は認証で失敗します。レルムなど) に、クロス ドメイン リクエストに必要なヘッダーがありません。誰かがその問題の解決策または実装をしていますか? それとも、CORS のために独自のダイジェスト フィルターを実装する必要がありますか?!

Web 共通のセキュリティ制約を使用して API に認証を追加していますが、CORS フィルターが壊れているようです。私は以前、フィルターのみで動作し、アプリサーバーレベルの認証はありませんでした。

基本的な考え方は、/rest/account エンドポイントを除くすべてのリクエストで認証を要求することです。これは、これらが最初のログインを処理するものであり、パブリックにアクセスできる必要があるためです。

Chrome と Postman の両方でテストすると、ログイン時に POST 要求の一部として OPTIONS 呼び出しが行われると、405 Method not allowed 応答が返されます。

以下に関連するすべてを提供できれば幸いですが、他に何か必要な場合はお知らせください。前もって感謝します！

私の CORS フィルター

私のセキュリティ上の制約

Google App Engine で Java アプリケーションを実行しています。管理サーブレットをセキュリティ制約で保護しました。

ここで、サーバー側のコードからこれらのサーブレットの 1 つを呼び出したいと思います。このセキュリティ上の制約のため、これは不可能のようです。通常のユーザーがこのリソースにアクセスするのを防ぎ、サーバー側コードからの呼び出しへのアクセスを防ぐロールはありますか? または、私の問題に対する別のアプローチがありますか?