客户端证书认证需要https吗？

Question

Spring Security：为了测试一个应用程序，我希望使用SSL 对于客户端证书X.509验证是必需的https吗？

Answer 1

是的，这是必要的。设置它也非常微不足道。请参阅：

http://static.springsource.org/spring-security/site/docs/3.0.x/reference/x509.html

22.3 Tomcat中

设置SSL有在春季安全工程样品/证书目录中的一些预生成的证书。如果您不想生成自己的文件，您可以使用这些文件来启用SSL进行测试。文件server.jks包含服务器证书，私钥和颁发证书颁发机构证书。还有一些来自示例应用程序的用户的客户端证书文件。您可以在浏览器中安装这些以启用SSL客户端身份验证。

要支持SSL的tomcat运行，把server.jks文件拖放到tomcat的conf目录下，下面的连接器添加到server.xml文件

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true" scheme="https" secure="true" 
     clientAuth="true" sslProtocol="TLS" 
     keystoreFile="${catalina.home}/conf/server.jks" 
     keystoreType="JKS" keystorePass="password" 
     truststoreFile="${catalina.home}/conf/server.jks" 
     truststoreType="JKS" truststorePass="password" 
/> 

clientAuth也可以被设置为要，如果你还在即使客户端不提供证书，也希望SSL连接成功。除非使用非X.509身份验证机制（例如表单身份验证），否则未提供证书的客户将无法访问由Spring Security保护的任何对象。