仅对基于servlet的webapp中的某些页面使用https

实际上,理想情况下,这是在Web应用的web.xml文件中配置的。您只需指定一些应该安全的URL <security-constraint><web-resource-collection> 并将HTTPS要求指定为 <transport-guarantee> 具有价值 CONFIDENTIAL . 容器将透明地管理重定向。简单。

<security-constraint>
  <web-resource-collection>
     <web-resource-name>My Secure Stuff</web-resource-name>
     <url-pattern>/some/secure/stuff/*</url-pattern>
     <url-pattern>/other/secure/stuff/*</url-pattern>
     ...
  </web-resource-collection>
  <user-data-constraint>
     <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  </user-data-constraint>
</security-constraint>

您只需要设置一个HTTP连接器,您的所有servlet也将在HTTP上可用。

对于需要https的操作,您需要像这样自我强制执行,

if (!request.isSecure()) {
    response.sendError(HttpServletResponse.SC_FORBIDDEN);
    return;
}

在我们的例子中,登录URL可以由用户输入,因此如果输入了HTTP URL,我们会将用户重定向到HTTPS页面。

如果您谈论的是servlet会话(jsessionid),那么在HTTP和HTTPS之间共享会话不应该有任何问题,因为Tomcat没有向cookies添加“secure”标志。