本文详解 Jetty 10.0.15 中通过原生 secure-redirect 模块实现 HTTP→HTTPS 安全重定向的标准化配置方法，涵盖端口映射（如 8081→8443）、协议感知、配置验证及常见陷阱规避，无需修改 Java 代码或 XML 文件。
本文详解 jetty 10.0.15 中通过原生 `secure-redirect` 模块实现 http→https 安全重定向的标准化配置方法，涵盖端口映射（如 8081→8443）、协议感知、配置验证及常见陷阱规避，无需修改 java 代码或 xml 文件。
在 Jetty 10 中，HTTP 到 HTTPS 的强制重定向不是靠手工编写 Filter 或修改上下文 XML 实现的，而是由官方提供的可插拔模块 secure-redirect 原生支持——它基于 Jetty 的 SecuredRedirectHandler，在请求处理链最前端完成协议判断与 301/302 重定向，性能高、零侵入、完全符合 Servlet 规范。
✅ 正确启用方式：启用 secure-redirect 模块
根据你的 list-config 输出，你已具备该模块（第 20 行显示 secure-redirect 已启用），但关键在于确保其被激活并正确关联到 Server 实例。执行以下命令（路径请替换为实际环境）：
cd C:\qaelum\services\Webserver java -jar C:\qaelum\frameworks\jetty10\start.jar --add-module=secure-redirect
该命令会：
- 在
start.d/目录下生成secure-redirect.ini（若尚不存在）； - 自动将
SecuredRedirectHandler注册为 Jetty Server 的顶层 handler； - 读取
jetty.httpConfig.securePort和jetty.httpConfig.secureScheme配置，构建重定向目标 URL。
? 验证是否生效：启动 Jetty 后访问
http://localhost:8081/login?lang=en，应收到 HTTP 301 响应，Location头为https://localhost:8443/login?lang=en（注意：域名和端口严格匹配jetty.httpConfig.securePort设置）。
⚙️ 关键配置项说明（已在你的 ini 文件中正确设置）
| 配置项 | 值 | 作用 |
|---|---|---|
jetty.http.port=8081（http.ini） |
8081 |
明文 HTTP 监听端口，所有对该端口的请求将被拦截重定向 |
jetty.ssl.port=8443（ssl.ini） |
8443 |
HTTPS 服务端口，作为重定向目标 |
jetty.httpConfig.securePort=8443（server.ini） |
8443 |
必需！secure-redirect 模块依赖此值生成 Location 头中的端口 |
jetty.httpConfig.secureScheme=https（server.ini，当前注释） |
https |
建议取消注释，显式声明安全协议，避免默认 https 被覆盖 |
✅ 请编辑 server.ini，取消以下行的注释：
jetty.httpConfig.secureScheme=https
⚠️ 注意事项与高频问题排查
不要手动配置
jetty-secure-redirect.xml：Jetty 10+ 的secure-redirect模块是纯配置驱动，无需触碰 XML。你的list-config已显示${jetty.home}\etc\jetty-secure-redirect.xml被加载，这是模块内置的标准配置，保持默认即可。端口冲突风险：确保
jetty.http.port（如8081）与jetty.ssl.port（如8443）不相同，否则重定向将陷入自循环（HTTP 请求重定向到同一端口的 HTTPS，而该端口实际运行的是 HTTP 协议）。Host 头保留机制：重定向时
Location头中的域名（host）直接取自请求的Host头，因此http://example.com:8081/→https://example.com:8443/。若需强制统一域名（如忽略端口、强制www），需额外配置反向代理或使用RewriteHandler—— 但这已超出secure-redirect模块职责范围。HTTPS 端口必须已启用且证书有效：
secure-redirect仅负责跳转，不校验证书。若https://localhost:8443无法访问（如证书错误、SSL 握手失败），用户将看到浏览器安全警告，而非重定向失败。Spring Boot 用户特别注意：若你使用 Spring Boot 内嵌 Jetty（非独立 Jetty 部署），则上述
--add-module方式不适用。此时应采用 Spring Boot 的WebServerFactoryCustomizer<jettyservletwebserverfactory></jettyservletwebserverfactory>编程方式配置ConstraintSecurityHandler（参考知识库中HttpToHttpsJettyConfig示例），因为 Spring Boot 容器生命周期管理与独立 Jetty 不同。
✅ 最终验证清单
| 检查项 | 方法 | 预期结果 |
|---|---|---|
secure-redirect 模块启用 |
java -jar start.jar --list-modules \| findstr secure |
输出含 secure-redirect
|
securePort 配置生效 |
java -jar start.jar --list-config \| findstr "securePort" |
显示 jetty.httpConfig.securePort=8443
|
| HTTP 请求触发重定向 | curl -I http://localhost:8081/health |
返回 HTTP/1.1 301 Moved Permanently + Location: https://localhost:8443/health
|
| HTTPS 服务可达 | curl -k https://localhost:8443/health |
返回 200 OK（忽略证书警告） |
完成以上步骤后，你的 Jetty 10 应用即具备生产就绪的 HTTP→HTTPS 强制重定向能力：轻量、标准、可审计，且与 Nginx/Apache 等反向代理方案正交兼容——无论是否前置网关，应用自身始终守住安全入口第一道防线。
