HTTP

所有基於 HTTP 的通訊，包括靜態資源，都應透過使用 TLS 進行保護。

作為框架，Spring Security 不處理 HTTP 連線，因此不直接提供 HTTPS 支援。但是，它確實提供了許多有助於 HTTPS 使用的功能。

重定向到 HTTPS

當客戶端使用 HTTP 時，您可以配置 Spring Security 在 Servlet 和 WebFlux 環境中重定向到 HTTPS。

嚴格傳輸安全

Spring Security 支援嚴格傳輸安全並預設啟用它。

代理伺服器配置

使用代理伺服器時，務必確保正確配置了應用程式。例如，許多應用程式有一個負載均衡器，透過將請求轉發到 https://192.168.0.107 上的應用程式伺服器來響應 https://example.com/ 的請求。如果配置不當，應用程式伺服器將無法知道負載均衡器的存在，並將請求視為客戶端請求了 https://192.168.0.107:8080。

為了解決這個問題，您可以使用 RFC 7239 來指定正在使用負載均衡器。為了讓應用程式意識到這一點，您需要配置您的應用程式伺服器以識別 X-Forwarded 頭。例如，Tomcat 使用 RemoteIpValve，Jetty 使用 ForwardedRequestCustomizer。另外，Spring 使用者可以在 Servlet 棧中使用 ForwardedHeaderFilter，在 Reactive 棧中使用 ForwardedHeaderTransformer。

Spring Boot 使用者可以使用 server.forward-headers-strategy 屬性來配置應用程式。有關更多詳細資訊，請參閱 Spring Boot 文件。