小编Edd*_*sso的帖子

我正在开发一个webapp,它使用客户端证书在使用Jersey的Web服务调用期间对Tomcat进行身份验证.到目前为止,这工作得很好,但是我需要在相同的上下文中使用Web前端来管理这个应用程序.由于SSL配置是"每个上下文",使前端使用https的唯一选择似乎是在访问浏览器中安装客户端证书,该浏览器也在tomcat的信任库中列出(或者完全放弃使用https) .

为了说明我真正想要的东西:

1. https://url-to-webapp/ws <- Should use client certificate
2. https://url-to-webapp/web <- Should just use a server certificate

这可以在Tomcat配置中,甚至在应用程序代码中以某种方式实现吗？

更新

我尝试了EJP建议的配置,但现在我无法连接到Tomcat,无论我使用哪些证书 - 它在查找过程中似乎都失败了.如果我在8080上创建HTTP连接器,它会将我重定向到8443.这是我正在使用的配置.有任何想法吗？

的tomcat-users.xml中

<tomcat-users>
<role rolename="webservice"/>
<user username="CN=ClientCert,OU=Corp,O=Corp,L=London,S=London,C=UK" password="" roles="webservice"/>
</tomcat-users>

server.xml中

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="true" sslProtocol="TLS"
keystoreFile="c:\tomcat\keys\server.jks" keystorePass="password"
truststoreFile="c:\tomcat\keys\client.jks" truststorePass="password"/>

web.xml中

[...]
    <security-constraint>
        <display-name>ClientCertificateRequired</display-name>
        <web-resource-collection>
            <web-resource-name>MyWebService</web-resource-name>
            <description/>
            <url-pattern>/webservice/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <description/>
            <role-name>webservice</role-name>
        </auth-constraint>
        <user-data-constraint>
            <description/>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
    </security-constraint>
    <login-config>
        <auth-method>CLIENT-CERT</auth-method>
        <realm-name>tomcat-users</realm-name>
    </login-config>
    <security-role>
        <description/>
        <role-name>webservice</role-name>
    </security-role>
    [...]
    <servlet>
        <display-name>Webservice</display-name>
        <servlet-name>Webservice</servlet-name>
        <servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
        [...]
            <run-as> …

我正在从http服务器下载文件,并且必须考虑到在下载期间的随机点,网络连接失败或计算机崩溃.如果发生这种情况,我会使用HTTP"Range:"标题开始恢复下载.

由于下载必须针对MD5哈希进行验证,因此我似乎无法在恢复后使用网络输入流来获取正确的哈希,因为java.security.MessageDigest似乎没有基本上说"从我之前下载的部分md5哈希开始更新当前的md5哈希".

我对md5的内部不太熟悉 - 这在理论上是否可行,是否有一个可以让我这样做的库？

从下载的文件计算md5哈希将是非常昂贵的性能.