Tomcat中的HTTPS安全性

Question

我目前正在探索Tomcat中的安全性，我只有一个项目是我无法获得的，或者我可能缺少基本的HTTP概念。

在Tomcat的示例项目中，我已经像这样配置了SSL安全性 然后创建了我自己的证书。

<security-constraint>
  <display-name>Example Security Constraint</display-name>
  <web-resource-collection>
    <web-resource-name>Protected Area</web-resource-name>
    <url-pattern>/jsp/security/protected/*</url-pattern>
    ......
  </web-resource-collection>
  <auth-constraint>
    <role-name>tomcat</role-name>
    ......
  </auth-constraint>
  <!-- must use SSL for secure transport -->
  <user-data-constraint>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  </user-data-constraint>
</security-constraint>

一切正常，每当我访问安全资源时，我都被重定向到https。

现在我在本地测试这个，我正在使用谷歌Chrome开发工具和 当我在探索网络交换时，我仍然看到我的用户名和密码仍以纯文本形式传递。我首先想到的是，它们会被加密为

这里没有问题吗？我可以在我的网络标签中看到我的详细信息是以纯文本形式传递的，但其他人无法看到这一点，对吧？

Answer 1

当您使用Chrome的内置工具检查流量时，它很可能会在SSL加密发生之前显示内容 - 否则您将无法在该帖子中读取任何内容。

如果您想查看真正的“在线”，您可以使用以下方式捕获流量： wireshark

Answer 2

使用HTTPS，数据在通信通道中加密。终点不受保护。这意味着输出可能在您发送之前，或者在您收到输出时在另一侧。