如何让Spring在特定重定向URL中强制使用HTTPS？

服务部署在网关之后，子服务所有请求均为HTTP协议，但重定向时Location头中的URL必须使用HTTPS（否则浏览器报错）。使用ModelAndView重定向的代码如下：

return new ModelAndView("redirect:confirm");

此时Location头中的URL协议为HTTP。尝试过如下配置但未生效（会导致浏览器重定向循环）：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        // 其他配置...
        .requiresChannel(channelRequestMatcherRegistry -> 
            channelRequestMatcherRegistry.requestMatchers("/confirm").requiresSecure())
        .build();
}

请问在Spring Boot 3.2.x和Spring Web Security 6.2.x环境下，强制特定重定向URL使用HTTPS的最佳方式是什么？

以下几种方式可解决该问题，按推荐优先级排序：

1. 配置Spring MVC识别网关转发头 #

网关通常会传递X-Forwarded-Proto（值为https）等头信息，让Spring Boot自动识别这些头，就能修正重定向的协议。在application.yml中添加配置：

server:
  forward-headers-strategy: framework

或application.properties格式：

server.forward-headers-strategy=framework

这是网关场景下的标准适配方案，全局生效且不会触发循环重定向，是最推荐的方式。

2. 自定义HTTPS重定向视图 #

如果无法依赖网关转发头，可自定义RedirectView强制指定HTTPS协议：

import org.springframework.web.servlet.view.RedirectView;

public class HttpsRedirectView extends RedirectView {
    public HttpsRedirectView(String url) {
        super(url);
        setScheme("https");
    }
}

在业务代码中替换原有的重定向逻辑：

return new ModelAndView(new HttpsRedirectView("confirm"));

该方式适合仅需对特定重定向做HTTPS强制的场景，灵活性较高。

3. 修正Security的Channel配置（避免循环重定向） #

之前的配置触发循环重定向，是因为Security要求/confirm必须用HTTPS，但子服务实际接收的是网关转发的HTTP请求。需先配置让Security识别网关转发头：

@Bean
public ForwardedHeaderFilter forwardedHeaderFilter() {
    return new ForwardedHeaderFilter();
}

再调整Channel配置，基于X-Forwarded-Proto判断请求是否已为HTTPS：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        // 其他配置...
        .requiresChannel(channel -> channel
            .requestMatchers("/confirm")
            .requiresSecure()
            .anyRequest()
            .requiresInsecure())
        .build();
}

不过该方式不如第一种配置简洁，仅作为备选方案。

内容的提问来源于stack exchange，提问作者sge