Tomcat 7 配置 SSL 证书的完整指南
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
随着互联网安全意识的不断增强，HTTPS 已成为现代 Web 通信的标准协议，对于使用 Apache Tomcat 作为 Web 容器的 Java Web 应用而言，配置 SSL 证书以实现 HTTPS 访问，是保障用户数据在传输过程中不被窃取或篡改的关键步骤，本文将以 Tomcat 7 为例，详细介绍如何配置 SSL 证书，涵盖生成密钥库、申请证书、配置 server.xml 文件以及验证部署效果等完整流程。
SSL（Secure Sockets Layer）是一种早期广泛使用的加密通信协议，其继任者为更安全的 TLS（Transport Layer Security），通过 SSL/TLS 证书，客户端与服务器之间可以建立安全的加密通道，有效防止中间人攻击（MITM），确保敏感信息（如用户名、密码、交易数据等）的安全传输，在 Tomcat 中启用 SSL 后，用户即可通过 HTTPS 协议访问 Web 应用,显著提升系统的安全性和可信度。
配置前的准备工作
在开始配置之前,请确保已完成以下准备工作：
-
获取 SSL 证书
可从权威证书颁发机构（CA）购买正式证书，也可使用 OpenSSL 工具生成自签名证书用于开发或测试环境。 -
安装 Java 开发环境（JDK）
Tomcat 7 基于 Java 运行，需安装 JDK 并正确配置环境变量（如 JAVA_HOME）。 -
准备 keytool 工具
keytool 是 JDK 自带的密钥和证书管理工具，用于生成密钥对、导出证书请求以及导入证书。 -
确认域名和服务器 IP 地址
申请证书时需确保填写的 Common Name（CN）与实际访问的域名一致,否则浏览器会提示证书不匹配。
生成密钥库（Keystore）
Tomcat 7 使用 Java 的 Keystore 来存储私钥和对应的证书，我们需要使用 keytool 生成一个密钥对，并将其保存到一个密钥库文件中（如：tomcat.keystore）。
执行以下命令生成密钥库：
keytool -genkeypair -alias tomcat -keyalg RSA -keystore tomcat.keystore -validity 365
-alias：为密钥设置别名，推荐使用tomcat。-keyalg：指定密钥算法，推荐使用 RSA。-keystore：指定生成的密钥库文件名。-validity：证书有效期,单位为天。
执行命令时,会提示输入以下信息：
- 设置密钥库密码（建议设置为
changeit，这是 Tomcat 的默认密码） - 输入组织名称、单位、城市、省份、国家代码等信息
- 确认信息无误后，设置密钥密码（可直接回车,使用密钥库密码）
生成证书签名请求（CSR）
如果计划向证书颁发机构申请正式证书，需要生成一个证书签名请求（CSR）文件，使用如下命令生成 CSR：
keytool -certreq -alias tomcat -file tomcat.csr -keystore tomcat.keystore
生成的 tomcat.csr 文件可以提交给 CA 机构进行证书申请。
导入证书到密钥库
当 CA 机构审核通过并返回证书文件（通常为 .crt 或 .p7b 格式）后，需将证书导入密钥库中,操作步骤如下：
-
导入根证书（可选）
如果证书机构提供了根证书或中间证书链,建议优先导入：keytool -importcert -alias rootca -trustcacerts -file rootca.crt -keystore tomcat.keystore
-
导入服务器证书
导入由 CA 颁发的服务器证书：keytool -importcert -alias tomcat -file server.crt -keystore tomcat.keystore
配置 Tomcat 的 server.xml 文件
Tomcat 的 SSL 配置主要在 conf/server.xml 文件中完成，找到默认的 HTTPS Connector 配置段落,并修改为如下内容：
<Connector port="8443" protocol="HTTP/1.1"
SSLEnabled="true"
maxThreads="150"
scheme="https"
secure="true"
clientAuth="false"
sslProtocol="TLS"
keystoreFile="/path/to/tomcat.keystore"
keystorePass="changeit"/>
port：HTTPS 监听端口，通常使用 8443 或 443。keystoreFile：密钥库文件的完整路径。keystorePass：密钥库密码，默认为changeit。sslProtocol：建议使用 TLS 协议以获得更高的安全性。
注意：Tomcat 7 默认使用 JSSE（Java Secure Socket Extension）实现 SSL/TLS，无需额外安装 APR 或 OpenSSL 库。
重启 Tomcat 并验证配置
修改配置后，重启 Tomcat 服务以使更改生效：
./shutdown.sh ./startup.sh
随后通过以下链接测试 HTTPS 是否配置成功：
https://yourdomain.com:8443如果浏览器提示证书不受信任（针对自签名证书），可手动将其添加到信任列表，若能正常访问，则说明 SSL 配置已成功部署。
强制 HTTPS 访问（可选）
为了确保所有请求都通过 HTTPS 协议访问，可以在应用的 web.xml 文件中添加如下安全约束配置：
<security-constraint>
<web-resource-collection>
<web-resource-name>SecureWebApp</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>
该配置会强制所有请求通过 HTTPS 传输,提高整体安全性。
常见问题与解决方案
-
证书信任问题
使用自签名证书时，浏览器会提示“不安全连接”,解决方法是将证书手动导入浏览器或操作系统信任库。 -
端口未开放或被防火墙阻止
确保服务器防火墙已开放 443 或 8443 端口，并检查安全组设置（如云服务器）。
