上一篇
Tomcat SSL证书怎么安装？Tomcat配置HTTPS证书教程
在 Tomcat 服务器中配置 SSL 证书以实现 HTTPS 访问，是保障数据传输安全、提升用户信任度的关键步骤，虽然 Tomcat 本身不直接生成证书，但它支持标准的 Java KeyStore (JKS) 或 PKCS#12 格式，以下是将 SSL 证书安装到 Tomcat 的详细全流程指南。
前期准备：获取证书文件
在开始配置之前，你需要从证书颁发机构（CA）获取以下文件，通常你会收到一个压缩包,解压后可能包含以下文件：
- 证书文件：通常以 .crt 或 .cer 例如 yourdomain.crt）。
- 私钥文件：通常以 .key 例如 yourdomain.key）。注意：私钥必须保密，切勿泄露。
- 中间证书/链证书：通常以 .ca-bundle 或 .crt 用于构建信任链。
重要提示：Tomcat 默认使用 Java 的 KeyStore 格式，如果你的证书和私钥是分开的 PEM 格式文件，你需要先将其合并或转换为 JKS/PKCS12 格式。
转换证书格式（如需）
大多数现代 CA 提供的是 PEM 格式，而 Tomcat 推荐使用 JKS 或 PKCS12，推荐使用 PKCS12 格式,因为它更通用且支持更好的加密算法。
方法 A：使用 OpenSSL 转换为 PKCS12
在 Linux 或 macOS 终端中执行以下命令，将证书和私钥合并为一个 .p12 文件：
- -export：导出操作。
- -out keystore.p12：输出的 PKCS12 文件名。
- -inkey yourdomain.key：你的私钥文件。
- -in yourdomain.crt：你的域名证书。
- -certfile ca-bundle.crt：中间证书文件（如果有）。
执行后会提示你设置一个导出密码，请牢记此密码，后续配置 Tomcat 时会用到。
方法 B：使用 keytool 转换为 JKS（传统方式）
如果你必须使用 JKS 格式：
- 先生成 JKS 密钥库（如果不存在）： keytool -genkey -alias tomcat -keyalg RSA -keystore keystore.jks
- 导入证书： keytool -import -alias tomcat -file yourdomain.crt -keystore keystore.jks
部署证书文件
将生成的 keystore.p12（或 keystore.jks）文件上传到你的 Tomcat 服务器，建议放置在 Tomcat 安装目录下的 conf 文件夹中,或者一个专门的安全目录，
/opt/tomcat/conf/keystore.p12
确保 Tomcat 运行用户（通常是 tomcat 或 www-data）对该文件拥有读取权限。
配置 server.xml
打开 Tomcat 的配置文件 $CATALINA_HOME/conf/server.xml，找到 <Connector> 部分，默认情况下，HTTPS 连接器是被注释掉的。
修改 Connector 配置
找到类似以下的代码块，并取消注释，修改 keystoreFile 和 keystorePass 属性：
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" keystoreFile="/opt/tomcat/conf/keystore.p12" keystorePass="your_export_password" keystoreType="PKCS12" />
关键参数说明：
| 参数 | 说明 | 示例值 |
|---|---|---|
| port | HTTPS 监听端口，默认通常为 8443 | 8443 |
| protocol | 使用的协议，推荐使用 NIO | org.apache.coyote.http11.Http11NioProtocol |
| SSLEnabled | 是否启用 SSL | true |
| keystoreFile | 密钥库文件的绝对路径 | /opt/tomcat/conf/keystore.p12 |
| keystorePass | 密钥库的密码（即转换时设置的导出密码） | your_export_password |
| keystoreType | 密钥库类型，PKCS12 或 JKS | PKCS12 |
建议： 为了强制使用 HTTPS，你可以将 HTTP 端口（8080）重定向到 HTTPS，或者在 web.xml 中配置安全约束。
重启 Tomcat 并验证
保存 server.xml 文件后，重启 Tomcat 服务：
# 如果是 systemd 管理 sudo systemctl restart tomcat # 或者使用脚本 sudo $CATALINA_HOME/bin/shutdown.sh sudo $CATALINA_HOME/bin/startup.sh
验证步骤
- 浏览器访问：在浏览器中输入 https://yourdomain.com:8443（如果修改了端口）。
- 检查锁图标：浏览器地址栏应显示安全锁标志，点击可查看证书详情,确认域名和有效期正确。
- 命令行测试： openssl s_client -connect yourdomain.com:8443 -servername yourdomain.com
如果连接成功并返回证书链信息,则说明配置正确。
常见问题排查
- 连接被拒绝：检查防火墙是否放行了 8443 端口。
- 证书不受信任：确保中间证书（CA Bundle）已正确包含在密钥库中。
- 端口冲突：确保 8443 端口未被其他服务占用。
- 密码错误：keystorePass 错误，Tomcat 启动时会报错，检查密码是否包含特殊字符,必要时使用引号包裹。
相关问题与解答
Q1: 如何将 HTTP 自动重定向到 HTTPS？
解答：
要实现 HTTP 到 HTTPS 的自动重定向，需要在 Tomcat 的 conf/web.xml 文件中添加安全约束，在 <web-app> 标签内添加以下内容：
<security-constraint> <web-resource-collection> <web-resource-name>Entire Application</web-resource-name> <url-pattern>/</url-pattern> </web-resource-collection> <user-data-constraint> <transport-guarantee>CONFIDENTIAL</transport-guarantee> </user-data-constraint> </security-constraint>
还需要确保 server.xml 中的 HTTP Connector（通常是 8080 端口）启用了重定向功能，或者在 Nginx/Apache 反向代理层面处理重定向,这样性能更好且更灵活。
Q2: 为什么我的证书在浏览器中显示“不安全”或“证书链不完整”？
解答：
这通常是因为缺少中间证书（Intermediate CA）,浏览器需要完整的信任链才能验证服务器证书。
- 原因：你只安装了域名证书（Leaf Certificate），而没有安装 CA 颁发的中间证书。
- 解决方法：
- 从 CA 提供商处下载完整的证书包，通常包含 yourdomain.crt 和 ca-bundle.crt。
- 在生成 PKCS12 文件时，务必使用 -certfile 参数将中间证书包含进去（如步骤 2 所示）。
- 如果使用 JKS，可能需要使用 keytool -importcert 依次导入根证书和中间证书，或者使用专门的工具（如 keystore-explorer）来管理完整的证书链。
