Как настроить HTTPS в Spring

#java #spring #https

есть готовое приложение на Spring. Пытаюсь сделать так, чтобы все запросы к серверу
передавались через HTTPS. Потратив несколько часов на гугление, сделал вот что. 
 1. Создал файл contactmanager.keystore вызвав команду в терминале (CMD) 

keytool -genkey -alias ContactManager -keyalg RSA -keystore c:/contactmanager.keystore



В файле C:\Program Files\Apache Software Foundation\Tomcat 9.0_MyTomcat9\conf\server.xml
добавил следующее:
св  

< Connector port="8443" 
    SSLEnabled="true" 
    protocol="org.apache.coyote.http11.Http11NioProtocol"
    maxThreads="150" scheme="https" secure="true"
    keystoreFile="c:\contactmanager.keystore"
    keystorePass="transmitter"
    sslProtocol="TLS"/>
В файле security-config.xml (в самом проекте) написано так:


















Запускаю томкат, все деплоится, запускается. Но для меня остается загадкой, почему
нету значка "Зеленый замочек" рядом слева от адресной строки? Такой, как например,
на этой странице. И потом, говорят, что этот протокол шифрует все данные и подсмотреть
их нельзя. Но как так получается, что все get/post запросы я вижу в их "голом" виде???

Я новичок в HTTPS, многого не знаю. Вроде делал все по туториалам, но эффект не такой
какой я ожидал. 
    

Ответы

Ответ 1

эффект не такой какой я ожидал


Эффект именно такой, какой и должен быть. Ваше спринг-приложение и сервлет-контейнер
теперь работают с https, с чем Вас можно поздравить.


  почему нету значка "Зеленый замочек"


Этот значок означает, что сервер является именно тем, за кого себя выдаёт. Для этого
сервер должен использовать сертификат, выданный удостоверяющим центром. У вас же сертификат
самоподписанный (Вы его сами сгенерировали), и доверия к нему у браузера нет. Кроме
того, сервер у вас работает на localhost, и удостоверять соответствие сертификата доменному
имени тут смысла нет. Поэтому нет и замочка.


  как так получается, что все get/post запросы я вижу в их "голом" виде


Вы смотрите на на них через консоль разработчика в браузере. Браузер всё расшифровывает
специально для вас. Попробуйте запустить перехватчик пакетов, посмотреть, что передается
в реальности, и убедитесь, что ваши данные надежно зашифрованы.