配置SSL证书的Spring Boot应用添加HTTP支持的代码问题咨询

• servletContainer是Spring Boot自定义内置Tomcat容器的标准Bean入口，重写的postProcessContext方法为整个应用上下文添加了安全约束：CONFIDENTIAL用户约束要求所有匹配/*路径的请求必须走机密传输通道（即HTTPS），如果收到HTTP请求会自动触发重定向逻辑。
• redirectConnector方法新增了一个HTTP协议的连接器，监听8080端口，标记为非安全通道，配置重定向端口为8443，收到该端口的HTTP请求时会和上方的安全约束联动，自动返回重定向响应，将请求跳转到8443端口的HTTPS地址。

• 端口硬编码：8080、8443直接写死在代码中，不同环境（开发、测试、生产）端口往往存在差异，后续调整端口必须修改代码重新打包，灵活度极低。
• 无例外路径配置：当前所有路径都强制跳转HTTPS，若存在内部健康检查接口、静态资源路径等不需要强制跳转HTTPS的场景，无法灵活配置排除规则。
• 重定向状态码不符合生产最佳实践：Tomcat默认该类约束触发的重定向为302临时重定向，生产环境HTTP转HTTPS通常使用301永久重定向，更利于SEO，也可让浏览器缓存重定向规则减少后续请求开销。
• 未适配反向代理场景：若生产环境前置Nginx、SLB等反向代理服务，该配置可能出现跳转端口、协议识别错误的问题，缺少X-Forwarded-*系列请求头的识别逻辑。
• 无启用开关：开发环境通常不需要配置HTTPS调试，当前代码写死加载，开发阶段调试必须额外配置SSL证书，使用成本较高。

• 端口改为从配置文件读取：通过@Value注解读取application配置文件中的自定义参数，动态设置监听端口和重定向端口，无需修改代码即可调整端口配置。
• 新增例外路径配置：将不需要跳转的路径配置在配置文件中，在postProcessContext中优先匹配例外路径，匹配成功的路径不添加强制HTTPS约束。
• 调整重定向状态码为301：修改连接器配置，将安全约束对应的重定向状态码改为301永久重定向，适配生产场景需求。
• 新增反向代理适配配置：给Tomcat添加RemoteIpValve配置，识别X-Forwarded-Proto、X-Forwarded-Port等请求头，正确识别原始请求的协议和端口，避免跳转错误。
• 新增条件加载逻辑：通过@ConditionalOnProperty注解给容器Bean添加配置开关，可根据环境灵活开启/关闭HTTP跳转HTTPS逻辑，降低开发调试成本。

优化后代码示例：

@Value("${http.port:8080}")
private Integer httpPort;

@Value("${server.port:8443}")
private Integer httpsPort;

@Value("${http.redirect.exclude-paths:}")
private List<String> excludePaths;

@Bean
@ConditionalOnProperty(name = "http.redirect.enabled", havingValue = "true", matchIfMissing = false)
public ServletWebServerFactory servletContainer() {
    TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() {
        @Override
        protected void postProcessContext(Context context) {
            // 优先添加例外路径约束，设置为不需要机密通道
            if (!CollectionUtils.isEmpty(excludePaths)) {
                SecurityConstraint excludeConstraint = new SecurityConstraint();
                excludeConstraint.setUserConstraint("NONE");
                SecurityCollection excludeCollection = new SecurityCollection();
                excludePaths.forEach(excludeCollection::addPattern);
                excludeConstraint.addCollection(excludeCollection);
                context.addConstraint(excludeConstraint);
            }
            // 添加全局强制HTTPS约束
            SecurityConstraint securityConstraint = new SecurityConstraint();
            securityConstraint.setUserConstraint("CONFIDENTIAL");
            SecurityCollection collection = new SecurityCollection();
            collection.addPattern("/*");
            securityConstraint.addCollection(collection);
            context.addConstraint(securityConstraint);
        }
    };
    // 添加反向代理请求头识别配置
    tomcat.addEngineValves(new RemoteIpValve() {{
        setProtocolHeader("X-Forwarded-Proto");
        setPortHeader("X-Forwarded-Port");
    }});
    tomcat.addAdditionalTomcatConnectors(redirectConnector());
    return tomcat;
}

private Connector redirectConnector() {
    Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
    connector.setScheme("http");
    connector.setPort(httpPort);
    connector.setSecure(false);
    connector.setRedirectPort(httpsPort);
    // 设置为301永久重定向
    connector.setProperty("redirectStatusCode", "301");
    return connector;
}

内容的提问来源于stack exchange，提问作者Upender Bikkumalla