我有一个使用Spring Security保护的Spring Web应用程序，运行在EC2上。在EC2实例前面有一个Elastic Load Balancer，其中包含一个SSL证书（https终止于负载均衡器，即端口443->端口80），因此从Tomcat的角度来看，入站请求是HTTP。
我的登录表单提交到https，但是随后的重定向转到http（成功或失败）。身份验证成功，并且我可以返回https并保持登录状态。
我的登录配置如下：
<security:form-login
default-target-url="/home"
login-page="/"
login-processing-url="/processlogin"
authentication-failure-url="/?login_error=1"/>
我需要更改什么才能使default-target-url和authentication-failure-url跳转到https？
您的Spring配置应该对使用的协议保持不可知。如果您使用类似于“requires-channel”的东西，您迟早会遇到问题，尤其是如果您想将相同的应用程序部署到没有https的开发环境中。
相反，考虑正确配置您的Tomcat。您可以使用RemoteIpValve来实现这一点。根据负载均衡器发送的头信息，您的server.xml配置需要包含类似以下内容的设置：
<Valve
className="org.apache.catalina.valves.RemoteIpValve"
internalProxies=".*"
protocolHeader="X-Forwarded-Proto"
httpsServerPort="443"
/>
如果您使用的不是443端口，请更改httpsServerPort，Spring将根据ServletRequest确定绝对重定向地址：
当protocolHeader指示https协议时，httpsServerPort是由ServletRequest.getServerPort()返回的端口号。
application.properties 文件中添加以下配置应该就足够了：server.tomcat.protocol-header=x-forwarded-proto
我在使用 AWS 的负载均衡器时，这个方法对我有效。
对于 Spring Boot < 2.0.0，它也应该有效（未经测试）。
server.use-forward-headers=true。参见 https://docs.spring.io/spring-boot/docs/current/reference/html/howto-embedded-web-servers.html#howto-use-tomcat-behind-a-proxy-server - Jeff Sheets我在谷歌Kubernetes后面使用Spring Boot时也遇到了同样的问题。在application.properties中添加以下两行代码就解决了问题
server.tomcat.remote-ip-header=x-forwarded-for
server.tomcat.protocol-header=x-forwarded-proto
server.use-forward-headers=true已经弃用。请改用server.forward-headers-strategy=native，并且不要将其设置为framework，除非您信任您的反向代理 ;-). - jumping_monkey我通过添加以下配置来使其正常工作：
<http auto-config="true" use-expressions="true" entry-point-ref="authenticationEntryPoint" >
<form-login login-page="/login.jsf" authentication-failure-url="/login.jsf?login_error=t" always-use-default-target="true" default-target-url="xxxxx" />
<logout logout-url="/logout" logout-success-url="/logoutSuccess.jsf" />
...
</http>
需要添加always-use-default-target="true"和default-target-url="https://...."。这不是理想的方式，因为您需要在配置中硬编码URL。
server.use-forward-headers=true。我尝试了上述所有方法来将我的k8应用程序转换为Spring Boot应用程序，但问题在于k8是安全的，并且SSL由位于Ingress前面的SSL加速器处理。该应用程序仅接收HTTP请求，而Spring Security也转发到HTTP，但从未找到。对我有效的解决方案是：
nginx.ingress.kubernetes.io/proxy-redirect-from: http://$http_host/ nginx.ingress.kubernetes.io/proxy-redirect-to: https://$http_host/$namespace/helloworld-service/
<security-constraint>
<web-resource-collection>
<web-resource-name>Login and Restricted Space URLs</web-resource-name>
<url-pattern>/j_security_check</url-pattern>
<url-pattern>/loginpage.rose</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>
它强制使用HTTPS。
我也遇到了完全相同的问题，目前我使用 AJP 协议将代理服务器上的请求重定向到 Tomcat 服务器，直到找到适当的解决方案。 下面是我的 Apache 配置：
ProxyPass /myproject ajp://localhost:8009/myproject
ProxyPassReverse /myproject ajp://localhost:8009/myproject
我在所有的拦截URL上设置了requires-channel="any"。这使得它仍然可以在我不使用SSL的开发环境中工作。
<intercept-url pattern="/createUser" access="permitAll" requires-channel="any"/>
<intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" requires-channel="any"/>
<intercept-url pattern="/**" access="isAuthenticated()" requires-channel="any"/>
接下来，创建一个Apache虚拟主机，将所有流量重定向到HTTPS版本。
<VirtualHost *:80>
ServerName www.mywebsite.com
Redirect permanent / https://www.mywebsite.com/
</VirtualHost>