通过Apache反向代理进行Spring Boot证书身份验证

Question

我已经成功配置了Apache（2.4.7）以要求客户端证书，并作为反向代理将证书中的信息转发到Tomcat 8服务器。

但是，当尝试使用Spring Boot完成相同操作时，它将失败

The proxy server received an invalid response from an upstream server
The proxy server could not handle the request GET /myapp

并返回HTTP 502错误代码。

相关的有效Tomcat配置为：

<Connector SSLEnabled="true" clientAuth="want" keyAlias="myalias" 
keystoreFile="mystore.jks" keystorePass="mypassword" maxThreads="150" 
port="8443" protocol="HTTP/1.1" scheme="https" secure="true" 
sslProtocol="TLS" truststoreFile="mystore.jks" truststorePass="mypassword"/>

Spring Boot application.properties文件的相关部分将不起作用：

server.context-path=/myapp
server.port=8443
server.ssl.enabled=true
server.use-forward-headers=true
server.ssl.protocol=TLS
server.ssl.client-auth=need
server.ssl.key-alias=myalias
server.ssl.key-store=/path/to/mykeystore.jks
server.ssl.key-store-password=mypassword
server.ssl.key-password=mypassword
server.ssl.trust-store=/path/to/mykeystore.jks
server.ssl.trust-store-password=mypassword

server.tomcat.remote-ip-header=x-forwarded-for
server.tomcat.port-header=x-forwarded-port

请注意，当直接访问应用程序（即请求https：//myapp.company.tld：12345 / myapp ）时，它可以正常工作，但使用反向代理（即https：//proxy-load-balancer.company.tld）： 12345 / myapp ）抛出以上错误。

端口差异（12345与配置的8443）是由于中间的Docker层引起的：反向代理和应用程序都在容器中运行，并且它们的开放端口（对于Apache是​​443，对于Tomcat / Spring Boot是8443）被映射到不同的端口端口，即12345。

Answer 1

好的，所有这些都整理了。 首先，此Spring安全设置

server.ssl.client-AUTH =需要

总是会强制您的嵌入式Tomcat要求证书，因此在client => reverse proxy => Tomcat的情况下，除非您使用AJP，否则您将无法进行身份验证，对此不确定。

但事实证明，使用

server.ssl.client-AUTH =希望

启用对请求的进一步处理，人们通常要做的是在反向代理级别处理证书，并将一些信息转发到后端服务器（Tomcat，Jetty等）。

最后，开发人员必须调整其Spring Boot应用程序以处理后一种操作模式，即从转发的HTTP请求的标头中提取数据，然后基于该标头进行身份验证。