Spring Boot實(shí)現(xiàn)Undertow服務(wù)器同時(shí)支持HTTP2、HTTPS的方法

更新時(shí)間：2018年12月19日 11:34:31 作者：養(yǎng)碼場007

這篇文章考慮如何讓Spring Boot應(yīng)用程序同時(shí)支持HTTP和HTTPS兩種協(xié)議。小編覺得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧

前言

如今，企業(yè)級(jí)應(yīng)用程序的高性能安全加密的常見場景是同時(shí)支持HTTP和HTTPS兩種協(xié)議，這篇文章考慮如何讓Spring Boot應(yīng)用程序同時(shí)支持HTTP和HTTPS兩種協(xié)議。Spring Boot的web容器已經(jīng)有容器可以支持HTTP2了，這個(gè)例子中選擇了Undertow高性能服務(wù)器作為Spring Boot的web容器。

What-什么是HTTP2

HTTP2是HTTP協(xié)議自1999年HTTP1.1發(fā)布后的首個(gè)更新，主要基于SPDY協(xié)議。由互聯(lián)網(wǎng)工程任務(wù)組(IETF)的 Hypertext Transfer Protocol Bis(httpbis)工作小組進(jìn)行開發(fā)。該組織于2014年12月將HTTP/2標(biāo)準(zhǔn)提議遞交至IESG進(jìn)行討論，于2015年2月17日被批準(zhǔn)。HTTP2標(biāo)準(zhǔn)于2015年5月以RFC7540正式發(fā)表。

Why-為什么要用HTTP2

HTTP2是第二代的HTTP協(xié)議，關(guān)于HTTP2的優(yōu)點(diǎn)這里就不闡述了，可以參考下面鏈接文章了解：http://ju.outofmemory.cn/entr...。

下圖是Akamai 公司建立的一個(gè)官方的演示，主要用來說明在性能上HTTP/1.1和HTTP/2在性能升的差別。同時(shí)請求 379 張圖片，HTTP/1.1加載用時(shí)4.54s，HTTP/2加載用時(shí)1.47s，大家可以通過 https://http2.akamai.com/demo 來感受下HTTP2的提速。

What-什么是HTTPS

要說HTTPS我們得先說SSL(Secure Sockets Layer，安全套接層)，這是一種為網(wǎng)絡(luò)通信提供安全及數(shù)據(jù)完整性的一種安全協(xié)議，SSL在網(wǎng)絡(luò)傳輸層對網(wǎng)絡(luò)連接進(jìn)行加密。SSL協(xié)議可以分為兩層：SSL記錄協(xié)議(SSL Record Protocol)，它建立在可靠的傳輸協(xié)議如TCP之上，為高層協(xié)議提供數(shù)據(jù)封裝、壓縮、加密等基本功能支持;SSL握手協(xié)議(SSL Handshake Protocol)，它建立在SSL記錄協(xié)議之上，用于在實(shí)際數(shù)據(jù)傳輸開始之前，通信雙方進(jìn)行身份認(rèn)證、協(xié)商加密算法、交換加密密鑰等。在Web開發(fā)中，我們是通過HTTPS來實(shí)現(xiàn)SSL的。HTTPS是以安全為目標(biāo)的HTTP通道，簡單來說就是HTTP的安全版，即在HTTP下加入SSL層，所以說HTTPS的安全基礎(chǔ)是SSL，不過這里有一個(gè)地方需要小伙伴們注意，就是我們現(xiàn)在市場上使用的都是TLS協(xié)議(Transport Layer Security，它來源于SSL)，而不是SSL，由于SSL出現(xiàn)較早并且被各大瀏覽器支持因此成為了HTTPS的代名詞。

Why-為什么要用HTTPS

超文本傳輸協(xié)議HTTP協(xié)議被用于在Web瀏覽器和網(wǎng)站服務(wù)器之間傳遞信息。HTTP協(xié)議以明文方式發(fā)送內(nèi)容，不提供任何方式的數(shù)據(jù)加密，如果攻擊者截取了Web瀏覽器和網(wǎng)站服務(wù)器之間的傳輸報(bào)文，就可以直接讀懂其中的信息，因此HTTP協(xié)議不適合傳輸一些敏感信息，比如信用卡號(hào)、密碼等。

為了解決HTTP協(xié)議的這一缺陷，需要使用另一種協(xié)議：安全套接字層超文本傳輸協(xié)議HTTPS。為了數(shù)據(jù)傳輸?shù)陌踩?，HTTPS在HTTP的基礎(chǔ)上加入了SSL協(xié)議，SSL依靠證書來驗(yàn)證服務(wù)器的身份，并為瀏覽器和服務(wù)器之間的通信加密。

HTTPS和HTTP的區(qū)別主要為以下四點(diǎn)：

一、https協(xié)議需要到ca申請證書，一般免費(fèi)證書很少，需要交費(fèi)。

二、http是超文本傳輸協(xié)議，信息是明文傳輸，https 則是具有安全性的ssl加密傳輸協(xié)議。

三、http和https使用的是完全不同的連接方式，用的端口也不一樣，前者是80，后者是443。

四、http的連接很簡單，是無狀態(tài)的;HTTPS協(xié)議是由SSL+HTTP協(xié)議構(gòu)建的可進(jìn)行加密傳輸、身份認(rèn)證的網(wǎng)絡(luò)協(xié)議，比http協(xié)議安全。

How-如何使用HTTPS和HTTP

如果你使用Spring Boot，并且想在內(nèi)嵌服務(wù)器中添加HTTPS，需要如下步驟：

要有一個(gè)SSL證書，買的或者自己生成的。

在Spring Boot中啟動(dòng)HTTPS。

將HTTP重定向到HTTPS(可選)。

一.通過云平臺(tái)獲取SSL證書

證書獲取有兩種方式，一種是自己通過jdk的keytool命令生成，一種是通過證書授權(quán)機(jī)構(gòu)購買，本文為了方便采用第二種從阿里云購買證書。

去阿里云購買證書(免費(fèi)版)，并提交審核資料

下載SSL證書

在證書目錄下執(zhí)行阿里云提供的命令，密碼都填 pfx-password.txt 中的內(nèi)容(三次)，會(huì)生成 javalsj.jks 文件。

復(fù)制代碼代碼如下:

keytool -importkeystore -srckeystore 214533136960974.pfx -destkeystore javalsj.jks -srcstoretype PKCS12 -deststoretype JKS 

二.通過jdk自帶的keytool工具進(jìn)行生成

生成證書(在要生成證書的目錄下,按著 Shit 建同時(shí)鼠標(biāo)右鍵出現(xiàn)[在此處打開命令窗口])

復(fù)制代碼代碼如下:

keytool -genkey -alias test -keyalg RSA -keysize 1024 -keystore charleslai -validity 365

利用"keytool -list -v -keystore charleslai.jks"查看JKS中生成的證書的詳細(xì)信息

利用“keytool -alias test -exportcert -keystore test.jks -file charleslai.cer”，導(dǎo)出證書，并可以雙擊打開證書查看證書信息

在Spring Boot中啟動(dòng)HTTPS和HTTP2

將charleslai.jks復(fù)制到Spring Boot應(yīng)用的resources目錄下

在application.properties中配置證書及端口，密碼填寫第3步中的密碼

##################################---Undertow服務(wù)器支持HTTPS服務(wù)---############################################## 
 
server.http2.enabled=true 
 
server.servlet.context-path=/blog 
 
custom.server.http.port=8080 
 
server.port=8443 
 
server.ssl.key-store=classpath:javalsj.jks 
 
server.ssl.key-store-password=214533136960974 
 
server.undertow.worker-threads=20 
 
server.undertow.buffer-size=512 
 
server.undertow.io-threads=2

此配置會(huì)使Undertow容器監(jiān)聽8443端口，那么只有在域名前添加 https://才能訪問網(wǎng)站內(nèi)容，添加http://則不行，所以需要讓Undertow容器監(jiān)聽8080端口，并將8080端口的所有請求重定向到8443端口，即完成http到https的跳轉(zhuǎn)。

將HTTP重定向到HTTPS(可選)

工程使用Gradle集成輕量級(jí)高性能非阻塞服務(wù)器undertow所需要的jar包：

compile group: 'org.springframework.boot', name: 'spring-boot-starter-undertow'

然后編寫代碼如下：

package com.javalsj.blog.configuration; 
 
import org.springframework.beans.factory.annotation.Value; 
 
import org.springframework.boot.web.embedded.undertow.UndertowServletWebServerFactory; 
 
import org.springframework.boot.web.servlet.server.ServletWebServerFactory; 
 
import org.springframework.context.annotation.Bean; 
 
import org.springframework.context.annotation.Configuration; 
 
import io.undertow.Undertow; 
 
import io.undertow.servlet.api.SecurityConstraint; 
 
import io.undertow.servlet.api.SecurityInfo; 
 
import io.undertow.servlet.api.TransportGuaranteeType; 
 
import io.undertow.servlet.api.WebResourceCollection; 
 
/** 
 
* @description 采用Undertow作為服務(wù)器,支持Https服務(wù)配置 
 
* @author WANGJIHONG 
 
* @date 2018年3月7日 下午8:34:18 
 
* @Copyright 版權(quán)所有 (c) www.javalsj.com 
 
* @memo 備注信息 
 
*/ 
 
@Configuration 
 
public class WebServerConfiguration { 
 
/** 
 
* http服務(wù)端口 
 
*/ 
 
@Value("${custom.server.http.port}") 
 
private Integer httpPort; 
 
/** 
 
* https服務(wù)端口 
 
*/ 
 
@Value("${server.port}") 
 
private Integer httpsPort; 
 
/** 
 
* 采用Undertow作為服務(wù)器。 
 
* Undertow是一個(gè)用java編寫的、靈活的、高性能的Web服務(wù)器，提供基于NIO的阻塞和非阻塞API，特點(diǎn)： 
 
* 非常輕量級(jí)，Undertow核心瓶子在1Mb以下。它在運(yùn)行時(shí)也是輕量級(jí)的，有一個(gè)簡單的嵌入式服務(wù)器使用少于4Mb的堆空間。 
 
* 支持HTTP升級(jí)，允許多個(gè)協(xié)議通過HTTP端口進(jìn)行多路復(fù)用。 
 
* 提供對Web套接字的全面支持，包括JSR-356支持。 
 
* 提供對Servlet 3.1的支持，包括對嵌入式servlet的支持。還可以在同一部署中混合Servlet和本機(jī)Undertow非阻塞處理程序。 
 
* 可以嵌入在應(yīng)用程序中或獨(dú)立運(yùn)行，只需幾行代碼。 
 
* 通過將處理程序鏈接在一起來配置Undertow服務(wù)器。它可以對各種功能進(jìn)行配置，方便靈活。 
 
*/ 
 
@Bean 
 
public ServletWebServerFactory undertowFactory() { 
 
UndertowServletWebServerFactory undertowFactory = new UndertowServletWebServerFactory(); 
 
undertowFactory.addBuilderCustomizers((Undertow.Builder builder) -> { 
 
builder.addHttpListener(httpPort, "0.0.0.0"); 
 
// 開啟HTTP2 
 
builder.setServerOption(UndertowOptions.ENABLE_HTTP2, true); 
 
}); 
 
undertowFactory.addDeploymentInfoCustomizers(deploymentInfo -> { 
 
// 開啟HTTP自動(dòng)跳轉(zhuǎn)至HTTPS 
 
deploymentInfo.addSecurityConstraint(new SecurityConstraint() 
 
.addWebResourceCollection(new WebResourceCollection().addUrlPattern("/*")) 
 
.setTransportGuaranteeType(TransportGuaranteeType.CONFIDENTIAL) 
 
.setEmptyRoleSemantic(SecurityInfo.EmptyRoleSemantic.PERMIT)) 
 
.setConfidentialPortManager(exchange -> httpsPort); 
 
}); 
 
return undertowFactory; 
 
} 
 
}

驗(yàn)證HTTPS和HTTP2開啟成功

重啟服務(wù)，即完成了HTTP到HTTPS的升級(jí)，且能自動(dòng)跳轉(zhuǎn)HTTPS，讓網(wǎng)站更安全。輸入http://localhost:8080/blog/swagger-ui.html后回車地址欄自動(dòng)跳轉(zhuǎn)至https://localhost:8443/blog/swagger-ui.html，如圖：

使用Chrome瀏覽器的console控制臺(tái)，輸入腳本后回車查看HTTP2是否開啟，腳本如下：

(function(){ 
 
// 保證這個(gè)方法只在支持loadTimes的chrome瀏覽器下執(zhí)行 
 
if(window.chrome && typeof chrome.loadTimes === 'function') { 
 
var loadTimes = window.chrome.loadTimes(); 
 
var spdy = loadTimes.wasFetchedViaSpdy; 
 
var info = loadTimes.npnNegotiatedProtocol || loadTimes.connectionInfo; 
 
// 就以 「h2」作為判斷標(biāo)識(shí) 
 
if(spdy && /^h2/i.test(info)) { 
 
return console.info('本站點(diǎn)使用了HTTP/2'); 
 
} 
 
} 
 
console.warn('本站點(diǎn)沒有使用HTTP/2'); 
 
})();