我們如何在 weblogic 服務器中啟用 HSTS（HTTP Strict-Transport-Security）

Question

我想將我的網站的 http 請求轉換為 https。 我已經獲得了 SSL 證書，但可能有機會繞過我​​的應用程序啟用的加密，並且在獲得證書后，我的應用程序無法阻止通過不安全連接進行訪問

Answer 1

不幸的是，在 weblogic 中沒有簡單的方法來啟用它（簡單的復選框形式）。

您最好的選擇可能是添加您自己的過濾器來添加 HSTS 標頭。 看看這個答案如何做到這一點： https : //stackoverflow.com/a/30455120/1391209

這里是相關的答案文本，以便於參考（以防答案被刪除）：

您可以使用過濾器添加它。 將以下代碼段添加到 web.xml：

<filter>
    <filter-name>HSTSFilter</filter-name>
    <filter-class>security.HSTSFilter</filter-class>
</filter>

然后在你的 webapp 中創建一個過濾器：

package security;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletResponse;

public class HSTSFilter implements Filter {

    public void doFilter(ServletRequest req, ServletResponse res,
        FilterChain chain) throws IOException, ServletException {
        HttpServletResponse resp = (HttpServletResponse) res;

        if (req.isSecure())
            resp.setHeader("Strict-Transport-Security", "max-age=31622400; includeSubDomains");

        chain.doFilter(req, resp);
    }
}

Answer 2

在您的 web.config 中使用此代碼

<system.webServer>
    <httpProtocol>
        <customHeaders>
            <add name="Strict-Transport-Security" value="max-age=31536000"/>
        </customHeaders>
    </httpProtocol>
</system.webServer>

Answer 3

對 Oracle Weblogic Server 12.2.1.4 或更新版本使用-Dweblogic.http.headers.enableHSTS=true JVM 系統屬性。 應用了 2019 年 10 月補丁集更新的舊補丁集/版本也向后移植了此功能。