常連

お世話になっております。
現在、tomcatについてわからないことがあるので、質問いたします。

###前提・実現したいこと
tomcatを利用して、サイトを起ち上げています。
tomcatと同一PCのブラウザから、該当サイトに接続できます。
しかし、LAN上の別PCのブラウザからアクセスできません。
サーバー側PCのファイアーウォールを切ればアクセスできるのですが、
ファイアーウォールを切らずにアクセスするには、どうすればいいでしょうか？

Tomcat 8.0
Windows7 Professional
Google Chrome 55.0.2883.87

###発生している問題・エラーメッセージ

```
このサイトにアクセスできません
172.16.22.20 からの応答時間が長すぎます。
```

###試したこと
Windowsファイアーウォールの、受信の規則を下記のように作りましたが、変化がありませんでした。
 ・新しい規則
 ・ポート
 ・TCP 特定のローカルポート 8080
 ・接続を許可する
 ・ドメイン、プライベート、パブリック（全チェック）


よろしくお願いいたします。

tomcatで、ローカルネットワーク内別PCから接続したい

『Land Of Lisp』という書籍で簡易的なWebサーバを作る章の勉強をしています。
ポート8080にソケットを開いて、ブラウザで以下(p259)を入力したのですが、接続が拒否されてしまいます。
> http://127.0.0.1:8080/greeting
```Lisp
;;処理系はClispです
(defun serve (request-handler)
  (let ((socket (socket-server 8080)))
    (unwind-protect
      (loop (with-open-stream (stream (socket-accept socket))
        (let* ((url        (parse-url (read-line stream)))
                  (path     (car url))
                  (header (get-header stream))
                  (params (append (cdr url)
                                (get-content-params stream header)))
                  (*standard-output* stream))
              (funcall request-handler path header params))))
       (socket-server-close socket))))
```

以下のコマンドでポート8080が正常に機能していることは確認済みですので、localhostに接続できていないことが原因であると考えています。
> lsof -i :8080


いろいろと解決策を調べている中で、以下は試しました。
・ファイアーウォールの設定で、Google Chrome.appの接続を許可
・プロキシの設定で、「プロキシ設定を使用しないホストとドメイン」に*.localがあることを確認

原因の調査方法・調査観点などをご教示いただければと思います。
よろしくお願いします。


【追記】
Apacheの起動を行なっていなかったため、以下コマンドでhttp://localhostと打ち込んで「It works!」と表示されるところまでは確認できたのですが、ポート8080に接続しようとすると反応のない状況です。
> sudo apachectl start

localhostへの接続が拒否される

## テーマ、知りたいこと

下記経緯にも記述しましたが，PUT や DELETE メソッドを使わない API を設計する理由として，
form タグの method 属性が対応していないこと以外に理由はあるのでしょうか．

真偽はともかく，軽く調べたところだと「Web ブラウザが対応していない」や「セキュリティの問題がある」などの意見が散見されました．
前者については，少なくとも現在有力なブラウザは対応していると思うので，古いないしは限定的な理由なのかなと思います．
後者については PUT および DELETE に認証がないなどという記述が見られました．
(検索の仕方に問題があるのかもしれませんが) そのあたりについて具体的に述べている資料を見つけるに至りませんでした．
また WAF や Proxy で弾かれてしまうからと仰っている人もいましたが，それは結局のところ設定の問題だと思うので知りたい結論ではありませんでした．

改めて知りたいことを整理すると，
PUT および DELETE メソッドにあって，POST メソッドにはない(主にセキュリティの観点での)問題点とは具体的に何なのか
です．

## 経緯

API 設計において，PUT や DELETE を用いず GET および POST のみで設計する人が少なからずいます．
HTML form タグの method 属性が get および post しか対応していないことが由来なのだろうとは思っていましたが，それ以上の理由が存在するのか調べたのがきっかけです．


PUT DELETE のセキュリティ面での懸念について

### 「パスワードの送信にURLクエリパラメータを使ってはいけない」のは何故か？

「パスワード等の機密情報をWebサーバーに送信する際は，URLクエリパラメータではなくPOSTのリクエストボディを使うべきである」
という主張を複数の書籍・サイトで見かけたことがありますが，この理由はなんでしょうか？

SSL/TLSを使わないhttp通信の場合は通信路でパケットを盗聴されるとリクエストの中身がすべて丸見えですから
POSTで送ったところで機密情報の保護には役に立ちません。

一方SSL/TLSを使った場合はクエリパラメータまで暗号化されるため，クエリパラメータで送ったところで
機密情報が盗み見られることはありません。(SSL/TLSに脆弱性が無い限り)

したがって個人的にはパスワードをクエリパラメータで送っても何の問題もないと思っているのですが，
表題の主張には何か理由があるものなのでしょうか？
よろしくお願いします。

「パスワードの送信にURLクエリパラメータを使ってはいけない」のは何故か？

HTTPのPOSTメソッドでリクエストを投げる際にURLエンコードする必要性はあるのでしょうか。
URLエンコードというのは、もともとヘッダ部のURL部分に2バイト文字や制御文字と紛らわしい文字が入るのを防止するためのものであり、
BODY部には不要ではないかと思いました。

例えばMIME TYPEにapplication/x-www-form-urlencodedが指定されている場合文字列はエンコードして送信されますが、
application/jsonを指定する場合などは、手動でURLエンコーディングするべきでしょうか？

HTTPのPOSTメソッドにおいてリクエストボディをURLエンコードする必要性はあるのでしょうか？

### 質問
〇Content-Type: application/jsonの場合にエンコーディングの指定は必要か。
〇根本的にjson形式のデータをPOSTする方法が間違っているか。
以下の現象に関して、解決策や問題点が思い当たる方がいらっしゃれば、ぜひ教えていただけますでしょうか。
よろしくお願いいたします。

### 実現したいこと
```C#
// POST: api/PushMsg
        [HttpPost]
        public bool PushMessage([FromBody] string value)
        {
            try
            {
                Logger.log(Logger.INFO, "Apnsサーバーに送信処理開始(クライアントから受信直後)");
                Logger.log(Logger.INFO, value, true);
                PushMessage msg = JsonConvert.DeserializeObject<PushMessage>(value);
                var ret = SendMessage(msg);
                Logger.log(Logger.INFO, "Apnsサーバーに送信正常終了", true);
                return ret.Result;
            }
            catch(Exception ex)
            {
                Logger.log(Logger.ERROR, "送信異常終了 => " + ex.Message, true);
                return false;
            }
        }
```

URL：http://IPアドレス:ポート番号/サーバー名/API/PushMsg
Header：Content-Type: application/json\r\n
HTTPBody：以下の文字列(CString)をバッファ(char*)の格納して ”POST”
{"userNo":4,"member":[12,16],"category":"comment","detail":{"commentId":10282,"talkId":36},"title":"新規コメント","message":"新規コメントがあります。","appId":"製品識別用ID","sound":"default"} 

で上記APIにjson形式の文字列をPOSTしたい

### 発生している問題・エラーメッセージ
```
System.Text.DecoderFallbackException: Unable to translate bytes [82][DC] at index 116 from specified code page to Unicode.……
```

Header: application/json; charset=UNICODE
とすると、API/PushMsgにたどり着いて文字列を渡すことができるが、
引数で受け取る文字列が文字化けしてしまった。
例)≻獵牥潎㨢㜳∬敭扭牥㨢ㅛ崲∬灡䥰≤∺獡牴獯慴敧䄮瑳潲慔歬Ⱒ琢瑩敬㨢丢睥敍獳条≥∬敭獳条≥∺潙⁵慨敶愠丠睥䴠獥慳敧∮∬慣整潧祲㨢挢浯敭瑮Ⱒ搢瑥楡≬笺挢浯敭瑮摉㨢㤱㠶ⰰ琢污䥫≤㈺紱∬潳湵≤∺敤慦汵≴}

### 試したこと
検証用にPOSTされた文字列を受け取って、そのまま返すだけのAPIを用意して検証してみた。↓
```C#
[HttpPost("TestFunc")]
        public string TestFunc([FromBody] string value)
        {
            var postData = "";
            postData = value;
            Logger.log(Logger.INFO, " postData :" + postData, true);

            return postData != null ? postData : "no post body";
        }
```
URL：http://IPアドレス:ポート番号/サーバー名/API/PushMsg/TestFunc
Header：Content-Type: text/plain\r\n
HTTPBody：同様

これを実行してデバックすると、
 postData :{"userNo":37,"member":[12],"appId":"アプリ識別用ID","title":"新規メッセージ","message":"新規のメッセージがあります。","category":"comment","detail":{"commentId":19802,"talkId":21},"sound":"default"} 
となり文字化け等起こらず、成功しました。
サーバーログでも確認済みです。

### MFC側POST処理
```C++
BOOL NotifyiOS( CString strConnectString, CString strBody )
{
	// jsonファイル読み取り
	CString strLocalTextFullPath = _T( "jsonファイルのパス" );

	// 文字コード指定してファイルから読み取り
	strBody = _T( "" );
	FILE *pFile;
	fopen_s( &pFile, CT2A( strLocalTextFullPath ), "r, ccs=UTF-8" );
	//fopen_s( &pFile, CT2A( strLocalTextFullPath ), "r, ccs=UTF-16LE" );
	if ( NULL != pFile ) {
		CStdioFile file( pFile );
		CString strJsonText;
		while ( file.ReadString( strJsonText ) ) {
			TRACE( L"%s\n", strJsonText );
			strBody = strJsonText;
		}
		file.Close( );
	}
	fclose( pFile );

	// バッファ確保、データコピー
	DWORD nBuff = strBody.GetLength() * sizeof( TCHAR );
	char *pBuff = NULL;
	pBuff = (char *)malloc( nBuff );
	if ( NULL == pBuff ) {
		return FALSE;
	}
	strcpy_s( pBuff, nBuff, CT2A( strBody, CP_UTF8 ) );
	strcpy_s( pBuff, nBuff, CT2A( strBody ) ); // こうするとTestFuncで文字化け

	CString strURL = strConnectString;

	CString strHttpRes;
	int nResult = -1;
	nResult = HttpiOSNotify( strHttpRes, CT2A( strURL ), pBuff, nBuff, 300000 ); // POST

	if ( 0 > nResult ) {
		free( pBuff );
		return FALSE;
	}

	free( pBuff );
	return TRUE;
}

int HttpiOSNotify( CString &csRet, const char *szURL, void *pData, int nData, DWORD Timeout, const char *szProxyServer, const char *szProxyUser, const char *szProxyPassword )
{
	int           nRet;
	CActiveBuffer Buff;

	if ( FALSE == Buff.Init( 32768, 32768 ) ) return 0;

	nRet = HttpiOSNotify( Buff, szURL, pData, nData, Timeout, szProxyServer, szProxyUser, szProxyPassword );
	if ( 1 > nRet ) {
		Buff.Close( );
		return nRet;
	}

	Buff.Add( "\0", 1 );

	csRet = (char *)Buff.DataP();
	Buff.Close( );

	return nRet;
}

int HttpiOSNotify( CActiveBuffer &Buff, const char *szURL, void *pData, int nData, DWORD Timeout, const char *szProxyServer, const char *szProxyUser, const char *szProxyPassword )
{
	char               szWork[ 512 ];
	DWORD              Timeout2;
	CWinInetHttpThread *thHttpGet;
	CString            strHeader;
	CActiveBuffer      Body;

	if ( FALSE == Body.Init( 131072, 131072 ) ) return -1;

	Timeout2 = Timeout / 2;
	if ( 30000 > Timeout2 ) Timeout2 = 30000;

	//strHeader = _T( "" ); // ヘッダー指定なし
	strHeader = _T( "Content-Type: application/json\n" ); // ×
	//strHeader = _T( "Content-Type: application/json; charset=UTF-8\r\n" ); // ×
	//strHeader = _T( "Content-Type: application/json; charset=UNICODE\r\n" );	// 〇
	//strHeader = _T( "Content-Type: application/json; charset=UTF-16\r\n" );	// 〇
	//strHeader = _T( "Content-Type: text/plain\r\n" ); // TestFunc用

	Body.Add( pData, (DWORD)nData );

	thHttpGet = new CWinInetHttpThread( CString( szURL ), Timeout2, Timeout2, Timeout2, strHeader, Body.DataP( ), Body.GetLength( ), HttpReceiveToBuffer, &Buff, NULL, 0, CString( szProxyServer ), CString( szProxyUser ), CString( szProxyPassword ) );

	if ( WAIT_OBJECT_0 != thHttpGet->WaitForThread( Timeout ) ) {
		thHttpGet->SetCancel( );
		thHttpGet->WaitForEndThread( );
		delete thHttpGet;
		Body.Close( );
		return -12002;
	}

	thHttpGet->WaitForEndThread( );

	if ( true == thHttpGet->GetErrInfo( )->IsError( ) ) {
		int nErr = thHttpGet->GetErrInfo( )->ErrCode( );
		delete thHttpGet;
		Body.Close( );
		return -nErr;
	}

	delete thHttpGet;
	return (int)Buff.GetLength( );
}

その他一般的なHTTPセッション処理
```

### 【現状の原因調査結果】
TestFuncでは文字化けせず、PushMessageでは文字化けしてしまう理由がよくわかりません。

ちなみにコマンドプロンプトから同じjson文字列のデータをポストすると文字化けもなく、成功します。
例）curl -X POST -H "Content-Type: application/json" -d @iOSNotifyInfo.json "http://192.168.1.175:80/ApnsPushServerDebug/API/PushMsg" -v

### 補足情報（FW/ツールのバージョンなど）
【開発環境】
（アプリ）
フレームワーク：MFC
言語：C++
プロジェクトの文字セット：UNICODE

（サーバ）
フレームワーク：.Net Core 3.1
言語：C#


HTTP通信でjson形式のデータをサーバーAPIにPOSTしたい

スケジュール管理のwebアプリ作成においてカレンダー画面にスケジュールを表示させる段階で以下のようなエラーがでてしまい躓いています。
いろいろと調べてみたのですがプログラミング初心者のため、どこを修正すればよいのか検討がつきません。

エラーメッセージ
HTTPステータス 500 ? Internal Server Error
Type Exception Report

説明 The server encountered an unexpected condition that prevented it from fulfilling the request.

例外

java.lang.NullPointerException
	MonthView5.createScheduleStr(MonthView5.java:191)
	MonthView5.doGet(MonthView5.java:148)
	javax.servlet.http.HttpServlet.service(HttpServlet.java:634)
	javax.servlet.http.HttpServlet.service(HttpServlet.java:741)
	org.apache.tomcat.websocket.server.WsFilter.doFilter(WsFilter.java:53)
注意 原因のすべてのスタックトレースは、サーバのログに記録されています

java
ソースコード
長いので以下にソースコードのリンクを貼らさせていただきます。
[リンク内容](https://www.javadrive.jp/servlet/schedule/MonthView5.java)

補足情報
tomcat9.0
MySQL

500エラーの対処法がわかりません。

### Strict-Transport-Securityのpreloadについて知りたいです

Webブラウザに対してSSL/TLSの利用を強制して盗聴を防ぐHSTSという仕組みがあります。これはレスポンスヘッダに特定のヘッダ(Strict-Transport-Security)を含み、ブラウザに指示することで実現されています。しかし最初の1回はヘッダの有無がわからないので平文で通信してしまい、攻撃を受ける可能性があります。
そこでブラウザ内で予め登録されたドメインのリストを持っておき、それらに対しては最初からhttpsを使うというプリロードと呼ばれる仕組みがあります。

ここまではわかります。

ところでStrict-Transport-Securityヘッダにpreloadという引数を設定することもできます。
[Strict-Transport-Security - HTTP | MDN](https://developer.mozilla.org/ja/docs/Web/HTTP/Headers/Strict-Transport-Security#preloading_strict_transport_security)

```
Strict-Transport-Security: max-age=<expire-time>; preload
```
これはいったい何なのでしょうか。そもそも最初の1回でHSTSヘッダを確認できないからプリロードの仕組みを用意するのに、その確認できないヘッダにpreload引数を入れても意味が無いのではないでしょうか。

