Spring Boot应用中为8080端口所有请求（含context path外）添加HSTS头的实现方案咨询

我完全理解你的需求——不想改动现有context path配置，也不想额外加代理，就想直接在应用里搞定所有8080端口请求的HSTS头，包括那些Spring上下文之外的路径。你之前试的Spring Filter方案确实不行，因为Spring的Filter是绑定在自身Servlet上下文（也就是/test路径下）的，Tomcat只会把context path内的请求转发给Spring处理，外面的请求根本到不了Spring的过滤器链。

要解决这个问题，我们得直接从Tomcat层面入手，用Tomcat的Valve组件来实现。Valve是Tomcat的核心拦截器，运行在Web应用上下文之前，能拦截所有进入Tomcat的请求，不管请求路径是否属于某个应用的context path。

具体实现步骤 #

1. 自定义Tomcat HSTS Valve

先写一个自定义的Valve类，负责给所有响应添加HSTS头：

import org.apache.catalina.connector.Request;
import org.apache.catalina.connector.Response;
import org.apache.catalina.valves.ValveBase;
import jakarta.servlet.ServletException;
import java.io.IOException;

public class HstsValve extends ValveBase {
    @Override
    public void invoke(Request request, Response response) throws IOException, ServletException {
        // 配置标准HSTS头，可根据需求调整参数
        response.setHeader("Strict-Transport-Security", "max-age=31536000; includeSubDomains");
        // 继续传递请求到下一个Valve/应用上下文
        getNext().invoke(request, response);
    }
}

2. 在Spring Boot中配置Tomcat加载这个Valve

在你的Spring Boot配置类里，通过TomcatServletWebServerFactory把自定义Valve添加到Tomcat的Engine级别（Engine是Tomcat处理所有请求的顶层组件）：

import org.springframework.boot.web.embedded.tomcat.TomcatServletWebServerFactory;
import org.springframework.boot.web.server.WebServerFactoryCustomizer;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class TomcatHstsConfig {

    @Bean
    public WebServerFactoryCustomizer<TomcatServletWebServerFactory> tomcatHstsCustomizer() {
        return factory -> {
            // 将HSTS Valve添加到Tomcat Engine，作用于所有端口请求
            factory.addEngineValves(new HstsValve());
        };
    }
}

为什么这个方案能生效？ #

• 不同于Spring的Filter（绑定在特定Web应用上下文），Tomcat的Engine级Valve会拦截所有进入该Tomcat实例的请求，包括那些不属于Spring context path的请求（比如/not-test/some-api）。
• 哪怕Tomcat最终会对这些context path外的请求返回404，Valve也会先执行，给响应加上HSTS头。

注意事项 #

• 如果你用的是Spring Boot 1.x（比较老旧的版本），对应的工厂类是TomcatEmbeddedServletContainerFactory，用法和上面几乎一致，只是类名不同。
• 你可以根据安全需求调整HSTS头的参数，比如添加preload属性（max-age=31536000; includeSubDomains; preload），但要注意preload需要提前提交到Chrome的预加载列表。
• 这个Valve会作用于当前Tomcat实例上的所有Web应用，如果你在同一个Tomcat上部署了多个应用，所有应用的响应都会带上HSTS头，适合你的单应用场景。

验证方法 #

启动应用后，用curl测试一个context path外的路径，比如：

curl -v http://localhost:8080/not-test/some-api

在响应头里你就能看到Strict-Transport-Security字段了。

内容来源于stack exchange