海外云服务器 40个地区可选            亚太云服务器 香港 日本 韩国

云虚拟主机 个人和企业网站的理想选择            俄罗斯电商外贸虚拟主机 赠送SSL证书

美国云虚拟主机 助力出海企业低成本上云             拨号云主机

在当今高度互联的网络环境中，数据安全已成为网站运营不可忽视的核心议题，随着 HTTPS 协议的广泛普及，SSL（Secure Sockets Layer）及其后续演进版本 TLS（Transport Layer Security）已成为保障 Web 通信安全的基础标准，对于采用 Apache Tomcat 作为应用服务器的企业开发者而言，正确部署和配置 SSL 证书是实现 HTTPS 加密传输的关键一步。

本文将系统性地介绍如何在 Tomcat 环境中完成 SSL 证书的申请、密钥生成、证书导入与服务配置全过程，帮助您快速搭建一个安全、合规且性能优良的 HTTPS 服务。

什么是 SSL 证书？它的作用是什么？

SSL 证书是一种基于公钥基础设施（PKI）的数字凭证，用于在客户端（如浏览器）与服务器之间建立加密通道，当用户访问启用 SSL/TLS 的网站时，系统会通过握手协议验证服务器身份，并对传输中的数据进行高强度加密，防止信息被窃听、篡改或劫持。

SSL 证书的主要功能包括：

• 数据加密：确保登录密码、支付信息、个人资料等敏感内容在传输过程中保持机密。
• 身份认证：由受信任的证书颁发机构（CA）签发，证明网站的真实归属,防止钓鱼攻击。
• 提升信任度：现代浏览器会对未使用 HTTPS 的站点标记“不安全”，而拥有有效证书的网站则显示绿色锁形标志,增强用户信心。
• SEO 优势：主流搜索引擎（如 Google）明确将 HTTPS 作为排名因子之一,有助于提升搜索可见性。

无论是企业级应用还是个人项目，部署 SSL 证书都已成为标配操作。

准备工作：获取有效的 SSL 证书

在开始配置前，必须先获得一份合法有效的 SSL 证书,常见的获取方式有以下三种：

无论选择哪种方式,最终通常需要准备以下关键文件：

• ✅ 服务器证书（Server Certificate）
  文件名示例：your_domain.crt 或 fullchain.pem
• ✅ 中间证书（Intermediate CA Certificate）
  用于构建完整的信任链
• ✅ 根证书（Root CA Certificate）
  可选，多数情况下已内置在客户端中
• ✅ 私钥文件（Private Key）
  文件扩展名通常为 .key 或包含于 PKCS#12 格式中

⚠️ 注意：Tomcat 原生使用 Java 密钥库（JKS, Java KeyStore）格式存储证书和密钥，若您从 Nginx/Apache 环境迁移或使用 OpenSSL 工具生成的是 PEM 格式证书，则需将其转换为 JKS 格式方可正常使用。

第一步：生成密钥对与证书请求（CSR）

如果尚未拥有证书，首先需要在服务器上生成一对 RSA 密钥（公钥 + 私钥），并创建证书签名请求（CSR），此过程可通过 JDK 自带的 keytool 工具完成。

生成密钥对

keytool -genkeypair \
        -alias tomcat \
        -keyalg RSA \
        -keysize 2048 \
        -keystore /path/to/tomcat/conf/keystore.jks \
        -validity 365 \
        -storepass changeit \
        -keypass changeit

执行命令后,系统将提示输入以下信息：

🔐 强烈建议设置强密码代替默认的 changeit,并在生产环境中妥善保管密钥库文件。

生成 CSR 请求文件

keytool -certreq \
        -alias tomcat \
        -file certreq.csr \
        -keystore /path/to/tomcat/conf/keystore.jks \
        -storepass changeit

该命令将生成名为 certreq.csr 的文本文件，其中包含了公钥及组织信息，将其提交给 CA 机构审核,审核通过后即可下载正式签发的证书文件。

第二步：导入证书到 Java 密钥库（JKS）

证书签发完成后，需按顺序将证书链导入到 JKS 密钥库中,以确保客户端能够完整验证信任链。

导入根证书和中间证书

建议优先导入根证书和中间证书，避免出现“证书不受信任”的警告。

# 导入根证书
keytool -import \
        -trustcacerts \
        -alias rootca \
        -file root.crt \
        -keystore /path/to/tomcat/conf/keystore.jks \
        -storepass changeit
# 导入中间证书
keytool -import \
        -alias intermediate \
        -file intermediate.crt \
        -keystore /path/to/tomcat/conf/keystore.jks \
        -storepass changeit

💡 提示：部分 CA 提供完整的证书链包（如 chain.pem），可拆分后逐个导入,或合并后再处理。

导入服务器证书

keytool -import \
        -alias tomcat \
        -file your_domain.crt \
        -keystore /path/to/tomcat/conf/keystore.jks \
        -storepass changeit

⚠️ 注意：此处使用的别名（-alias）必须与生成密钥对时一致（如 tomcat），否则 Tomcat 将无法识别对应私钥,导致启动失败。

特殊情况：已有 PEM 格式证书的转换方法

若您的私钥和证书来自其他环境（如使用 OpenSSL 生成），可以借助 openssl 和 pkcs12 中间格式完成向 JKS 的转换。

合并证书并导出为 PKCS#12 格式

openssl pkcs12 -export \
               -in your_domain.crt \
               -inkey private.key \
               -out keystore.p12 \
               -name tomcat \
               -CAfile chain.crt \
               -caname root \
               -password pass:changeit

将 PKCS#12 转换为 JKS 格式

keytool -importkeystore \
        -destkeystore /path/to/tomcat/conf/keystore.jks \
        -srckeystore keystore.p12 \
        -srcstoretype PKCS12 \
        -srcstorepass changeit \
        -deststorepass changeit \
        -alias tomcat

此流程适用于 Let’s Encrypt 用户或其他非 Java 生态的证书迁移场景。

第三步：配置 Tomcat 启用 HTTPS

完成证书导入后，下一步是在 Tomcat 主配置文件中启用 SSL 连接器。

编辑 server.xml

进入 $CATALINA_HOME/conf/server.xml，找到被注释掉的 HTTPS Connector 段落：

<!--
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.jks"
                     type="RSA" />
    </SSLHostConfig>
</Connector>
-->

取消注释并修改为如下配置：

<Connector port="443" 
           protocol="org.apache.coy