我计划构建一个双层应用程序，它有一个后端（java，可能是spring-MVC），可以将JSON传递到前端（PHP，Drupal7）。我只希望前端应用程序暴露在外部世界中，在传统环境中，我可能会将后端粘在防火墙内的一些端口上（假设两个部分都在FW中运行）。
这在谷歌应用引擎环境中可能实现吗？
不可能在防火墙内运行GAE。它运行在谷歌的服务器上。
您可以做一些基本的事情，比如阻止IP，但这并不是真正必要的。由于你的"前端"有php后端，你可以从那里用一个秘密参数调用你的appengine（如"myapp.appspot.com？key=sE34sdJSjUy"）。它的安全性非常简单，而且没有人能看到这个url（在你的php后端），它和任何其他身份验证方法一样好。