上一篇
Tomcat配置https ssl证书报错怎么办？如何免费申请部署
在 Tomcat 服务器中配置 HTTPS SSL 证书是实现网站加密传输、提升用户信任度以及满足搜索引擎优化（SEO）要求的关键步骤，虽然 Tomcat 本身支持多种协议，但最通用且推荐的方式是通过 Java 密钥库（JKS）或 PKCS#12 格式来管理证书。
以下是关于在 Tomcat 中配置 SSL 证书的完整指南,涵盖从证书获取到配置生效的全过程。
前期准备：获取与转换证书
在配置 Tomcat 之前，你需要确保证书文件存在，通常证书颁发机构（CA）会提供 .crt 或 .pem 格式的公钥证书，以及 .key 格式的私钥，Tomcat 原生支持 JKS 和 PKCS#12 格式,因此通常需要将证书和私钥合并到一个密钥库文件中。
常用证书格式转换工具
如果你持有的是 PEM 格式的证书和私钥，可以使用 keytool 或 openssl 将其转换为 Tomcat 支持的格式。
| 步骤 | 操作说明 | 命令示例 (使用 OpenSSL) |
|---|---|---|
| 合并证书 | 将 CA 证书、中间证书和服务器证书合并为一个 bundle 文件 | cat server.crt ca.crt > bundle.crt |
| 转换为 PKCS#12 | 将私钥和合并后的证书转换为 .p12 文件 | openssl pkcs12 -export -out keystore.p12 -inkey server.key -in bundle.crt |
| 导入 JKS | 将 .p12 文件导入到 JKS 密钥库中 | keytool -importkeystore -srckeystore keystore.p12 -srcstoretype PKCS12 -destkeystore keystore.jks -deststoretype JKS |
注意：在执行上述命令时，系统会提示你输入密钥库密码，请牢记该密码，后续配置 server.xml 时需要用到。
配置 Tomcat 的 server.xml
Tomcat 的主要配置文件位于 conf/server.xml，你需要找到 <Connector> 标签，并修改其属性以启用 SSL。
关键属性说明
| 属性名 | 说明 | 示例值 |
|---|---|---|
| port | 监听 HTTPS 请求的端口，通常为 443 | 443 |
| protocol | 使用的协议，推荐使用 org.apache.coyote.http11.Http11NioProtocol | org.apache.coyote.http11.Http11NioProtocol |
| SSLEnabled | 是否启用 SSL | true |
| keystoreFile | 密钥库文件的路径 | /path/to/keystore.jks |
| keystorePass | 密钥库的密码 | your_password |
| clientAuth | 是否要求客户端证书（双向认证） | false (单向认证设为 false) |
| sslProtocol | 使用的 SSL/TLS 协议版本 | TLS 或 TLSv1.2 |
配置示例
在 server.xml 中，你应该有一个类似以下的 Connector 配置块，如果不存在，请添加；如果存在但被注释,请取消注释并修改。
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" keystoreFile="/usr/local/tomcat/conf/keystore.jks" keystorePass="your_keystore_password" clientAuth="false" sslProtocol="TLS" />
重要提示：
- 路径问题：keystoreFile 建议使用绝对路径,避免相对路径在不同启动方式下出现找不到文件的问题。
- 端口冲突：确保 443 端口未被其他服务占用。
- HTTP 重定向：为了用户体验，通常建议配置 HTTP (80端口) 自动重定向到 HTTPS (443端口)，这可以通过在 web.xml 中配置 <security-constraint> 或使用 Tomcat 的 RedirectPort 属性实现。
强制 HTTP 跳转到 HTTPS
除了配置 SSL Connector，还需要确保所有 HTTP 请求都被重定向到 HTTPS，这可以通过修改 conf/web.xml 文件来实现。
在 web.xml 的 <web-app> 标签内添加以下配置：
当 Tomcat 检测到 transport-guarantee 设置为 CONFIDENTIAL 时，它会自动将 HTTP 请求重定向到配置的 redirectPort（即 443 端口）。
验证与测试
配置完成后，重启 Tomcat 服务以应用更改。
- 检查日志：查看 logs/catalina.out 或 logs/localhost.log,确认没有关于密钥库加载失败的错误。
- 浏览器访问：使用 https://your-domain.com 访问网站。
- 证书详情：点击浏览器地址栏的锁图标，查看证书信息，确认证书颁发者、有效期以及域名匹配情况。
- 在线工具检测：使用如 SSL Labs 等在线工具进行深度扫描，检查证书链完整性、协议支持（如 TLS 1.2/1.3）以及是否存在弱加密套件。
常见问题排查
-
错误：java.io.IOException: Alias name does not identify a key entry
- 原因：密钥库中不存在与配置匹配的别名,或者密码错误。
- 解决：使用 keytool -list -v -keystore keystore.jks 检查密钥库内容,确认别名和密码正确。
-
错误：PKIX path building failed
- 原因：证书链不完整,缺少中间证书。
-
解决：确保在生成 .p12 或 .jks 时，包含了完整的证书链（服务器证书 + 中间证书）。
浏览器提示“不安全”
- 原因：证书域名与访问域名不匹配,或证书已过期。
- 解决：检查证书绑定的域名（SAN 字段）是否包含当前访问的域名,并确保证书在有效期内。
相关问题与解答
问题 1：Tomcat 配置 SSL 时，JKS 和 PKCS#12 格式有什么区别？应该选择哪一种？
解答：
JKS (Java KeyStore) 是 Java 平台传统的密钥库格式，而 PKCS#12 (.p12 或 .pfx) 是行业标准格式,被大多数浏览器和服务器软件支持。
- 兼容性：PKCS#12 具有更好的跨平台兼容性，如果你的 Tomcat 需要与其他非 Java 服务（如 Nginx 反向代理）配合，或者证书需要在不同系统间迁移，PKCS#12 是更好的选择。
- 安全性：较新版本的 Java 默认推荐使用 PKCS#12 格式。
- 建议：虽然 Tomcat 两者都支持，但现代最佳实践倾向于使用 PKCS#12 格式,因为它更通用且易于管理。
问题 2：如何在 Tomcat 中启用 HTTP/2 协议？
解答：
要在 Tomcat 中启用 HTTP/2，除了配置 SSL 证书外,还需要满足以下条件：
- Java 版本：需要 Java 8u131 或更高版本，或者 Java 11+。
- 协议配置：在 server.xml 的 Connector 中，将 protocol 设置为 org.apache.coyote.http11.Http11NioProtocol（NIO 协议支持 HTTP/2）。
- 启用 HTTP/2：在 Connector 标签中添加属性 http2="true"。
- 完整配置示例： <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" keystoreFile="/path/to/keystore.p12" keystorePass="your_password" http2="true" />
配置完成后，重启 Tomcat 即可通过支持 HTTP/2 的浏览器访问,并通过开发者工具或在线工具验证协议版本。
