Tomcat 配置 SSL 证书实现 HTTPS 安全访问详解
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
美国云虚拟主机 助力出海企业低成本上云 WAF网站防火墙 为您的业务网站保驾护航
本文详细介绍了在 Tomcat 服务器上配置 SSL 证书以实现 HTTPS 安全访问的步骤，内容包括 SSL 证书的获取与生成、server.xml 文件的配置、证书链的验证以及常见问题的解决方法，通过配置 HTTPS，可以有效提升网站数据传输的安全性，防止信息被窃取或篡改，适用于各类需要加密通信的 Web 应用场景。
随着互联网安全意识的不断增强,越来越多的网站开始启用 HTTPS 协议，以实现数据传输的加密保护，保障用户隐私和信息安全，Tomcat 作为 Java Web 应用中广泛使用的 Servlet 容器，原生支持通过 SSL/TLS 协议实现 HTTPS 加密通信，本文将详细介绍如何在 Tomcat 服务器上配置 SSL 证书，从而实现 HTTPS 安全访问。
SSL（Secure Sockets Layer）是一种早期的安全通信协议，用于在客户端与服务器之间建立加密通道，保障数据在传输过程中的机密性和完整性，其继任协议 TLS（Transport Layer Security）在功能和安全性上更为先进，目前广泛应用于 HTTPS 中，SSL/TLS 证书通常由受信任的证书颁发机构（CA）签发，用于验证服务器身份，并为数据传输提供加密支持。
通过部署 SSL/TLS 证书，网站可以启用 HTTPS 协议，防止中间人攻击（MITM）和数据窃听，显著提升网站的安全性与用户信任度。
Tomcat 配置 HTTPS 的前提条件
在开始配置 Tomcat 的 HTTPS 服务之前，需准备以下内容：
- Java 运行环境（JRE 或 JDK）：Tomcat 基于 Java 开发，因此必须确保已安装并正确配置 Java 环境。
- SSL 证书文件：包括服务器证书（Server Certificate）、私钥（Private Key）以及中间证书（Intermediate Certificate）。
- 密钥库文件（Keystore）：Tomcat 使用 Java 的 KeyStore 来管理 SSL 证书，常见的格式包括 JKS（Java KeyStore）和 PKCS12。
- OpenSSL 工具（可选）：用于证书格式转换或生成 CSR（Certificate Signing Request）等操作。
生成密钥库与申请 SSL 证书
-
使用 keytool 生成密钥对
在 Tomcat 中启用 HTTPS 的第一步，是生成服务器的密钥对以及证书签名请求（CSR）：
keytool -genkeypair -alias tomcat -keyalg RSA -keysize 2048 -storetype PKCS12 -keystore tomcat.p12 -validity 3650
该命令会生成一个 PKCS12 格式的密钥库文件
tomcat.p12，其中包含私钥和一个自签名的证书，有效期为 10 年。 -
生成 CSR 文件
使用以下命令生成 CSR 文件，以便提交给证书颁发机构进行正式证书申请：
keytool -certreq -alias tomcat -keystore tomcat.p12 -file csr.txt
将生成的
csr.txt文件提交给证书颁发机构（如 Let's Encrypt、DigiCert、Sectigo 等），即可获得正式的 SSL 证书文件。 -
导入 SSL 证书到密钥库
在收到证书颁发机构签发的证书后,需要将其导入到密钥库中，首先导入中间证书，再导入服务器证书：
keytool -import -alias intermediate -keystore tomcat.p12 -trustcacerts -file intermediate.crt keytool -import -alias tomcat -keystore tomcat.p12 -file server.crt
导入完成后,密钥库中就包含了完整的证书链，可用于 HTTPS 服务的配置。
配置 Tomcat 启用 HTTPS
编辑 Tomcat 的配置文件 conf/server.xml，找到或新增如下 <Connector> 配置项：
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="/path/to/tomcat.p12"
keystorePass="your_keystore_password"
keystoreType="PKCS12" />
port：HTTPS 服务监听的端口号，通常为 443（标准 HTTPS 端口）或 8443（测试端口）。keystoreFile：密钥库文件的路径。keystorePass：密钥库的密码。keystoreType：密钥库类型，如 PKCS12 或 JKS。
配置完成后,重启 Tomcat 服务，HTTPS 协议即可生效。
强制跳转 HTTPS
为了确保所有访问都通过加密连接,可以配置 HTTP 到 HTTPS 的自动跳转，首先在 server.xml 中修改 HTTP 的 <Connector>，添加 redirectPort：
<Connector port="8080" protocol="HTTP/1.1"
connectionTimeout="20000"
redirectPort="8443" />
在 web.xml 文件中添加如下安全约束配置，强制所有请求使用 HTTPS：
<security-constraint>
<web-resource-collection>
<web-resource-name>SecureWebApp</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>
这样,当用户通过 HTTP 访问时，系统将自动跳转至 HTTPS 版本，确保连接安全。
测试与验证 HTTPS 配置
配置完成后,可以通过浏览器访问 https://yourdomain.com:8443，查看证书信息是否正确，是否显示绿色锁标识，确认连接安全。
还可以使用 SSL Labs 提供的 SSL Server Test 工具，对服务器的 SSL/TLS 配置进行全面的安全评估，检测是否存在配置漏洞或弱加密算法。
通过本文的介绍,我们了解了如何在 Tomcat 上配置 SSL 证书，实现 HTTPS 安全访问，整个过程包括密钥生成、证书申请、密钥库管理以及服务器配置等多个步骤，正确配置 HTTPS 不仅可以有效保护用户数据安全，还能显著提升网站的可信度和搜索引擎排名。
随着主流浏览器对 HTTP 网站标记为“不安全”的趋势日益明显，尽早部署 SSL 证书已成为企业网站的必备选择，掌握 Tomcat 的 HTTPS 配置方法，对于保障 Web 应用安全具有重要意义。
