Java Tomcat如何支持HTTPS

Java Tomcat 支持 HTTPS 的完整配置指南

一 准备证书与密钥库

• 自签名证书用于测试（生产环境请使用受信任 CA 证书，如 Let’s Encrypt）：
  • 生成 JKS 密钥库：keytool -genkey -alias tomcat -keyalg RSA -keysize 2048 -keystore keystore.jks -validity 365
  • 按提示填写信息；通用名称 CN 建议与访问域名或 IP 一致，避免浏览器证书不匹配警告。
• 已有证书的常见形态与处理：
  • PFX/P12：可直接作为密钥库使用（Tomcat 8.5+/9 支持在 <SSLHostConfig> 中使用 PKCS12）。
  • PEM + KEY：需转换为 PKCS12/JKS（可用 OpenSSL 转换后再导入）。
• 证书链与信任：
  • 生产环境请确保证书链完整（包含中间证书），避免浏览器报“证书不受信任/链不完整”。

二 配置 Tomcat 启用 HTTPS

• 编辑 conf/server.xml，在 <Service> 内添加或修改 HTTPS Connector。Tomcat 8.5/9 推荐使用基于 SSLHostConfig 的新配置方式；Tomcat 7 常见为旧属性方式。
• 示例 1（Tomcat 8.5/9，JKS，端口 8443）：

  <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
      <Certificate certificateKeystoreFile="conf/keystore.jks"
                   type="JKS"
                   certificateKeystorePassword="changeit" />
    </SSLHostConfig>
  </Connector>
  

• 示例 2（Tomcat 8.5/9，PKCS12，端口 443）：

  <Connector port="443" protocol="org.apache.coyote.http11.Http11Nio2Protocol"
             maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
      <Certificate certificateKeystoreFile="conf/domain.p12"
                   type="PKCS12"
                   certificateKeystorePassword="p12_password" />
    </SSLHostConfig>
  </Connector>
  

• 示例 3（Tomcat 7，旧属性方式，端口 8443）：

  <Connector port="8443" protocol="HTTP/1.1"
             SSLEnabled="true" scheme="https" secure="true"
             keystoreFile="conf/keystore.jks"
             keystorePass="changeit" sslProtocol="TLS" />
  

• 要点：
  • 端口建议：测试用 8443，生产可用 443（需管理员权限）。
  • 协议与线程：如 Http11NioProtocol/Http11Nio2Protocol，按需调整 maxThreads。
  • 路径与权限：证书路径建议使用相对 Tomcat 安装目录的路径（如 conf/），并确保文件可读。

三 强制 HTTP 跳转 HTTPS

• 方式一（容器级，推荐）：在 conf/web.xml 的 <welcome-file-list> 之后添加：

  <security-constraint>
    <web-resource-collection>
      <web-resource-name>Protected Context</web-resource-name>
      <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
      <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
  </security-constraint>
  

  同时确保非 SSL Connector 的 redirectPort 指向 443（或你的 HTTPS 端口）。
• 方式二（应用级）：在 Spring Boot 中可通过配置强制安全通道：

  http.requiresChannel().anyRequest().requiresSecure();
  

• 说明：CONFIDENTIAL 会让容器将匹配的 HTTP 请求重定向到 HTTPS（前提是存在对应 HTTPS Connector 且端口配置正确）。

四 双向认证与信任库

• 单向认证：默认 clientAuth="false"，仅服务器验证客户端（浏览器证书）。
• 双向认证（mTLS）：服务端也验证客户端证书，需配置 truststore：

  <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="200" SSLEnabled="true"
             scheme="https" secure="true"
             keystoreFile="conf/server.p12"
             keystorePass="server_p12_password"
             clientAuth="true"
             truststoreFile="conf/client-truststore.p12"
             truststorePass="truststore_password" />
  

• 客户端需安装由同一 CA 签发的证书（含私钥），服务端通过 truststore 验证。适用于对客户端身份要求严格的场景。

五 测试与常见问题

• 启动与连通性：
  • 重启 Tomcat，访问 https://<域名或IP>:<端口>/；自签名证书浏览器会提示不受信任（测试环境可继续访问）。
  • 如访问失败，检查 logs/catalina.out、端口占用、证书路径与密码是否正确。
• 端口与防火墙：
  • 开放 443/8443 端口（云服务器与安全组策略需同步放行）。
• 证书链与域名匹配：
  • 生产证书需包含完整链；CN/SAN 需覆盖实际访问域名或 IP，避免“名称不匹配”。
• 性能与安全：
  • TLS 会提升 CPU 开销，可按并发调优线程与连接器；定期更新 Tomcat/Java 与证书，避免已知漏洞。