Tomcat 配置 HTTPS 访问全攻略（CentOS 环境）

一、环境说明

操作系统：CentOS

Tomcat 版本：Apache Tomcat/9.0.105

服务器 IP：192.168.1.35

目标：将 Tomcat 默认的 HTTP 访问升级为 HTTPS，提升通信安全性

二、操作步骤详解

（一）查询 JDK 目录

通过以下命令确认 JDK 安装路径：

bash 复制代码

echo $JAVA_HOME

预期输出：

bash 复制代码

/opt/jdk1.8.0_451

关键点：后续操作需依赖 JDK 自带的keytool工具，确保路径正确。

（二）使用 keytool 生成证书

1. 进入 JDK 的 bin 目录

bash 复制代码

cd $JAVA_HOME/bin

2. 执行证书生成命令

bash 复制代码

./keytool -genkeypair -alias tomcat -keyalg RSA -keystore /usr/local/tomcat.keystore -validity 36500

3. 交互配置说明

密钥库口令：设置证书存储密码（如：123456）

个人信息：依次输入姓名、组织单位、组织名称、地区等（示例：CN=chen, OU=LG, O=LG, L=guangdong, ST=guangdong, C=CN）

密钥口令：可与密钥库口令保持一致，直接按回车

4. 参数解析

-keystore：指定证书存储路径及文件名（本例存放在/usr/local/目录，文件名为tomcat.keystore）

-validity：证书有效期（36500 天≈100 年，默认 90 天）

（三）配置 Tomcat 服务器

1. 修改 conf/server.xml

原 HTTP 连接器配置（修改前）：

bash 复制代码

<Connector port="8800" protocol="HTTP/1.1"

connectionTimeout="20000"

redirectPort="8443"

maxParameterCount="1000"

/>

修改点：

将redirectPort从 8443 改为 443（HTTPS 默认端口）

新增 HTTPS 连接器配置：

bash 复制代码

<Connector port="443"

protocol="org.apache.coyote.http11.Http11NioProtocol"

maxThreads="150"

SSLEnabled="true"

scheme="https"

secure="true"

clientAuth="false"

sslProtocol="TLS"

keystoreFile="/usr/local/tomcat.keystore"

keystorePass="123456"/>

注意事项：

protocol必须使用Http11NioProtocol，不可用HTTP/1.1

keystoreFile路径需与实际证书存储路径一致（Linux 系统注意路径大小写）

2. 配置 conf/web.xml 安全约束

在</welcome-file-list>标签后添加以下内容：

bash 复制代码

<login-config>

<!-- 客户端证书认证 -->

<auth-method>CLIENT-CERT</auth-method>

<realm-name>Client Cert Users-only Area</realm-name>

</login-config>

<security-constraint>

<!-- 保护所有Web资源 -->

<web-resource-collection>

<web-resource-name>SSL</web-resource-name>

<url-pattern>/*</url-pattern>

</web-resource-collection>

<!-- 强制加密传输 -->

<user-data-constraint>

<transport-guarantee>CONFIDENTIAL</transport-guarantee>

</user-data-constraint>

</security-constraint>