海外云服务器 40个地区可选            亚太云服务器 香港 日本 韩国

云虚拟主机 个人和企业网站的理想选择            俄罗斯电商外贸虚拟主机 赠送SSL证书

美国云虚拟主机 助力出海企业低成本上云             拨号云主机

在当今互联网环境中,数据传输的安全性变得愈发重要，无论是企业级应用还是个人网站，启用HTTPS协议已成为保障用户隐私和数据完整性的重要手段，Apache Tomcat 作为广泛使用的Java Web服务器，在部署Web应用时经常需要支持SSL/TLS加密通信，本文将详细介绍如何在Tomcat 9中安装SSL证书，实现HTTPS访问，并对相关配置进行优化，确保服务的安全性和稳定性。

SSL证书的基本概念

SSL（Secure Sockets Layer）及其继任者TLS（Transport Layer Security）是一种用于在客户端和服务器之间建立加密连接的协议，通过安装SSL证书，可以启用HTTPS协议，防止数据被窃听或篡改，SSL证书通常由受信任的证书颁发机构（CA）签发，包含公钥、域名信息、有效期以及签发机构等关键内容。

对于Tomcat 9而言，支持SSL的方式主要依赖于Java的密钥库（Keystore）机制，我们需要将SSL证书导入到一个JKS（Java KeyStore）或PKCS12格式的密钥库中，然后在Tomcat的配置文件中引用该密钥库，从而启用HTTPS服务。

准备工作

在开始安装SSL证书之前,请确认以下几点：

1. 已获取SSL证书文件
   包括：

   • 域名证书（如 yourdomain.crt）
   • 中间证书（Intermediate CA Certificate）
   • 私钥文件（Private Key，通常为 .key 文件）

2. Java环境已安装
   Tomcat 9基于Java运行，需确保JDK或JRE已正确安装并配置环境变量。

3. Tomcat 9已部署并可正常启动
   确保当前HTTP服务（端口8080）能够正常访问。

4. 工具准备
   推荐使用 keytool（JDK自带）或 OpenSSL 工具来处理证书合并与格式转换。

生成密钥库并导入SSL证书

使用已有私钥和证书生成PKCS12密钥库

如果已有私钥和证书文件,推荐先将其合并为PKCS12格式，再导入Java Keystore。

openssl pkcs12 -export \
    -in yourdomain.crt \
    -inkey private.key \
    -chain \
    -CAfile intermediate.crt \
    -name "tomcat" \
    -out tomcat.p12

上述命令中：

• -in 指定域名证书
• -inkey 指定私钥文件
• -chain 和 -CAfile 用于包含中间证书链
• -name 是别名，建议设为“tomcat”
• 输出文件为 tomcat.p12

随后,使用 keytool 将PKCS12文件导入为JKS格式：

keytool -importkeystore \
    -srckeystore tomcat.p12 \
    -srcstoretype PKCS12 \
    -destkeystore keystore.jks \
    -deststoretype JKS

系统会提示输入源密钥库密码（导出时设置的）和目标密钥库密码（建议设置强密码，如 changeit）。

将生成的 keystore.jks 文件复制到Tomcat的 conf/ 目录下，/usr/local/tomcat/conf/keystore.jks。

配置Tomcat Server.xml启用HTTPS

打开Tomcat安装目录下的 conf/server.xml 文件，找到 <Service> 标签中的Connector部分。

默认情况下,HTTP连接器如下：

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443" />

我们需要添加一个支持SSL的Connector,取消注释或新增如下配置：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.jks"
                     certificateKeystorePassword="changeit"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

说明：

• port="8443"：HTTPS默认端口，也可改为443（需root权限）
• protocol 使用NIO协议以提升性能
• certificateKeystoreFile 指向JKS文件路径（相对或绝对路径均可）
• certificateKeystorePassword 为密钥库密码

若使用的是PKCS12格式,可修改为：

<Certificate certificateKeystoreFile="conf/tomcat.p12"
             certificateKeystorePassword="changeit"
             certificateKeystoreType="PKCS12"
             type="RSA" />

重启Tomcat并测试HTTPS

保存配置后,重启Tomcat服务：

./bin/shutdown.sh
./bin/startup.sh

访问 https://yourdomain.com:8443，如果浏览器显示安全锁标志且无证书错误，则说明SSL配置成功。

注意：若无法访问，请检查防火墙是否开放8443端口，或云服务器安全组策略。

强制HTTP跳转HTTPS（可选）

为了提高安全性,建议将所有HTTP请求重定向到HTTPS，可在 conf/web.xml 文件末尾的 </web-app> 前添加如下代码：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected Context</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

在 server.xml 的HTTP Connector中添加 redirectPort="8443"：

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443" />

这样,当用户访问HTTP时，将自动跳转至HTTPS。

安全优化建议

1. 禁用弱加密协议
   在 <SSLHostConfig> 中指定支持的协议版本：

   <SSLHostConfig protocols="TLSv1.2,TLSv1.3">

2. 使用强密码套件
   可通过 ciphers 属性限制仅使用安全的加密算法。

3. 定期更新证书
   SSL证书通常有效期为1-2年，需提前续期并重新部署。

4. 启用HSTS（HTTP Strict Transport Security）
   在应用层面添加响应头：Strict-Transport-Security: max-age=31536000; includeSubDomains

在Tomcat 9中安装SSL证书不仅是技术操作，更是构建安全网络环境的关键步骤，通过本文介绍的方法，您可以顺利完成证书部署，启用HTTPS服务，并进一步优化安全性设置，随着网络安全法规的日益严格，为Web应用启用SSL加密已成为标配，希望本指南能帮助您高效、安全地完成Tomcat 9的SSL配置，为用户提供更可靠的访问体验。