我是否可以在使用 MTLS 保护所有其他 HTTP 请求的同时，使用不安全的 GET HTTP 请求

Question

我有一个用戈兰语编写的HTTP REST服务，演示了我正在尝试的内容。我希望 GET 请求不安全，而所有其他 REST 请求都使用 MTLS 进行保护。我的实现已经使用了gin Web服务器库，所以如果可能的话，我想坚持下去。我的问题是，我只能将tlsConfig应用于两个组，或者两者都不应用。我无法找到在小组级别应用它的方法。package mainimport (    "crypto/tls"    "crypto/x509"    "errors"    "fmt"    "io/ioutil"    "net/http"    "log"    "github.com/gin-gonic/gin")func main() {    router := gin.Default()    // Unprotected public router for GET requests    public := router.Group("/")    // Private router with MTLS    private := router.Group("/")    public.GET("/insecure-ping", func(c *gin.Context) {        c.JSON(200, gin.H{            "message": "insecure pong",        })    })    private.POST("/secure-ping", func(c *gin.Context) {        c.JSON(200, gin.H{            "message": "secure pong",        })    })    // Get the SystemCertPool, continue with an empty pool on error    rootCAs, err := x509.SystemCertPool()    if err != nil {        log.Fatal(err)    }    if rootCAs == nil {        rootCAs = x509.NewCertPool()    }    // Create a CA certificate pool and add cacert.pem to it    caCert, err := ioutil.ReadFile("cacert.pem")    if err != nil {        log.Fatal(err)    }    if ok := rootCAs.AppendCertsFromPEM(caCert); !ok {        err := errors.New("failed to append CA cert to local system certificate pool")        log.Fatal(err)    }    server := http.Server{        Addr:    fmt.Sprintf(":%v", 8080),        Handler: router,    }    server.TLSConfig = &tls.Config{        RootCAs: rootCAs,    }    err = server.ListenAndServeTLS("certificate.crt", "privateKey.key")    if err != nil {        log.Fatal(err)    }}

Answer 1

只需创建两个实例并同时运行它们，一个使用 配置相同的路由，另一个使用 配置。由于 HTTP 和 HTTPS 在不同的端口上运行，因此它们必须具有不同的侦听器，但两个侦听器都可以使用相同（或不同）的处理程序。例如：ServerListenAndServeListenAndServeTLS

publicRouter := gin.Default()

// Unprotected public router for GET requests

public := publicRouter.Group("/")

public.GET("/insecure-ping", func(c *gin.Context) {

    c.JSON(200, gin.H{

        "message": "insecure pong",

    })

})

server := http.Server{

    Addr:    fmt.Sprintf(":%v", 8081), // Or whatever

    Handler: publicRouter,

}

go func() {

    err = tlsServer.ListenAndServe()

    if err != nil {

        log.Fatal(err)

    }

}()

// Private router with MTLS

router := gin.Default()

private := router.Group("/")

private.POST("/secure-ping", func(c *gin.Context) {

    c.JSON(200, gin.H{

        "message": "secure pong",

    })

})

// Get the SystemCertPool, continue with an empty pool on error

rootCAs, err := x509.SystemCertPool()

if err != nil {

    log.Fatal(err)

}

if rootCAs == nil {

    rootCAs = x509.NewCertPool()

}

// Create a CA certificate pool and add cacert.pem to it

caCert, err := ioutil.ReadFile("cacert.pem")

if err != nil {

    log.Fatal(err)

}

if ok := rootCAs.AppendCertsFromPEM(caCert); !ok {

    err := errors.New("failed to append CA cert to local system certificate pool")

    log.Fatal(err)

}

tlsServer := http.Server{

    Addr:    fmt.Sprintf(":%v", 8080),

    Handler: router,

}

tlsServer.TLSConfig = &tls.Config{

    RootCAs: rootCAs,

}

err = tlsServer.ListenAndServeTLS("certificate.crt", "privateKey.key")

if err != nil {

    log.Fatal(err)

}