为Tomcat部署SSL证书：从零到一的HTTPS配置指南

亲爱的非洲野猪2025-12-05 8:49

在现代Web应用开发中，HTTPS已不再是可选项，而是安全标配。本文将详细讲解如何在Tomcat服务器上部署SSL证书，实现HTTP到HTTPS的安全升级。

前言：为什么需要HTTPS？

在开始技术细节之前，我们先明确一下HTTPS的重要性：

  • 数据加密：防止传输过程中被窃听
  • 身份验证：确保用户访问的是真实服务器
  • 数据完整性：防止传输过程中被篡改
  • SEO优势：搜索引擎对HTTPS网站有排名倾斜
  • 浏览器信任：现代浏览器会对HTTP网站标记"不安全"

第一部分：准备工作

1.1 环境要求

  • JDK 8或更高版本
  • Tomcat 8.5或更高版本（本文以Tomcat 9为例）
  • 有效的SSL证书（购买或使用免费证书）

1.2 证书类型说明

复制代码 
1. 域名验证证书（DV） - 基本验证，适用于个人网站
2. 组织验证证书（OV） - 验证组织信息，适用于企业
3. 扩展验证证书（EV） - 最高验证级别，显示绿色地址栏
4. 通配符证书（*） - 保护主域名和所有子域名

1.3 获取SSL证书的途径

  • 商业CA：DigiCert、GlobalSign、Sectigo等
  • 免费CA：Let's Encrypt（90天有效期）
  • 自签名证书：仅用于测试环境

第二部分：获取SSL证书

2.1 使用Let's Encrypt获取免费证书（推荐测试使用）

bash 复制代码 
# 安装Certbot客户端
sudo apt update
sudo apt install certbot

# 获取证书（需要域名已解析到服务器）
sudo certbot certonly --standalone -d yourdomain.com -d www.yourdomain.com

# 证书文件位置：
# /etc/letsencrypt/live/yourdomain.com/fullchain.pem  # 证书链
# /etc/letsencrypt/live/yourdomain.com/privkey.pem    # 私钥

2.2 商业证书申请流程

  1. 在证书提供商处购买证书
  2. 生成证书签名请求（CSR）
  3. 完成域名/组织验证
  4. 下载证书文件（通常包含.crt/.cer和.ca-bundle文件）

第三部分：Tomcat SSL证书部署

3.1 证书文件准备

将获取的证书文件复制到Tomcat配置目录：

bash 复制代码 
# 创建证书存放目录
sudo mkdir -p /opt/tomcat/conf/ssl

# 复制证书文件（以Let's Encrypt为例）
sudo cp /etc/letsencrypt/live/yourdomain.com/fullchain.pem /opt/tomcat/conf/ssl/
sudo cp /etc/letsencrypt/live/yourdomain.com/privkey.pem /opt/tomcat/conf/ssl/

# 修改文件权限（重要！）
sudo chown tomcat:tomcat /opt/tomcat/conf/ssl/*
sudo chmod 600 /opt/tomcat/conf/ssl/privkey.pem
sudo chmod 644 /opt/tomcat/conf/ssl/fullchain.pem

3.2 配置server.xml文件

打开Tomcat的conf/server.xml文件，找到并修改Connector配置：

xml 复制代码 
<!-- 找到以下部分（约在116行附近） -->
<!--
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/localhost-rsa.jks"
                     type="RSA" />
    </SSLHostConfig>
</Connector>
-->

<!-- 替换为以下配置 -->
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true"
           scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="/opt/tomcat/conf/ssl/yourdomain.jks"
           keystorePass="your_keystore_password"
           keyAlias="yourdomain">
           
    <!-- 启用HTTP/2（Tomcat 8.5+） -->
    <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
    
    <!-- 配置SSL参数 -->
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="/opt/tomcat/conf/ssl/yourdomain.jks"
                     type="RSA"
                     keystorePass="your_keystore_password"
                     keyAlias="yourdomain" />
    </SSLHostConfig>
</Connector>

3.3 配置web.xml强制HTTPS（可选）

在webapps/your-app/WEB-INF/web.xml中添加安全约束：

xml 复制代码 
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Entire Application</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

第四部分：证书格式转换

4.1 PEM格式转换为JKS格式（Tomcat需要）

Tomcat通常使用JKS或PKCS12格式的密钥库，如果您的证书是PEM格式：

bash 复制代码 
# 1. 将PEM证书和私钥合并为PKCS12格式
openssl pkcs12 -export \
    -in /opt/tomcat/conf/ssl/fullchain.pem \
    -inkey /opt/tomcat/conf/ssl/privkey.pem \
    -out /opt/tomcat/conf/ssl/yourdomain.p12 \
    -name yourdomain \
    -passout pass:your_keystore_password

# 2. 将PKCS12转换为JKS格式
keytool -importkeystore \
    -srckeystore /opt/tomcat/conf/ssl/yourdomain.p12 \
    -srcstoretype pkcs12 \
    -srcstorepass your_keystore_password \
    -destkeystore /opt/tomcat/conf/ssl/yourdomain.jks \
    -deststoretype JKS \
    -deststorepass your_keystore_password \
    -alias yourdomain

# 3. 验证JKS文件
keytool -list -v -keystore /opt/tomcat/conf/ssl/yourdomain.jks \
    -storepass your_keystore_password

4.2 商业证书的格式处理

如果从商业CA获得的是.crt和.key文件：

bash 复制代码 
# 合并证书链（如果需要）
cat yourdomain.crt intermediate.crt root.crt > fullchain.pem

# 然后按照4.1的步骤转换

第五部分：高级配置与优化

5.1 配置HTTP重定向到HTTPS

在conf/server.xml中添加HTTP重定向：

xml 复制代码 
<!-- 在原有的HTTP Connector后添加redirectPort -->
<Connector port="80" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="443" />

5.2 配置HSTS（HTTP Strict Transport Security）

在conf/web.xml中添加过滤器：

xml 复制代码 
<filter>
    <filter-name>httpHeaderSecurity</filter-name>
    <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
    <init-param>
        <param-name>hstsEnabled</param-name>
        <param-value>true</param-value>
    </init-param>
    <init-param>
        <param-name>hstsMaxAgeSeconds</param-name>
        <param-value>31536000</param-value>
    </init-param>
    <init-param>
        <param-name>hstsIncludeSubDomains</param-name>
        <param-value>true</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>httpHeaderSecurity</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

5.3 启用OCSP装订（提高SSL握手性能）

xml 复制代码 
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="/opt/tomcat/conf/ssl/yourdomain.jks"
                     keystorePass="your_keystore_password"
                     type="RSA"
                     keyAlias="yourdomain" />
        
        <!-- 启用OCSP装订 -->
        <Certificate certificateRevocationListFile="conf/revocation_list.crl"
                     revocationEnabled="true" />
    </SSLHostConfig>
</Connector>

第六部分：测试与验证

6.1 重启Tomcat并测试

bash 复制代码 
# 重启Tomcat
sudo systemctl restart tomcat

# 或者使用Tomcat的脚本
cd /opt/tomcat/bin
./shutdown.sh
./startup.sh

# 查看启动日志
tail -f /opt/tomcat/logs/catalina.out

6.2 使用OpenSSL测试连接

bash 复制代码 
# 测试SSL握手
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

# 测试特定协议版本
openssl s_client -connect yourdomain.com:443 -tls1_2

6.3 在线SSL检测工具

第七部分：自动化与续期

7.1 自动续期Let's Encrypt证书

创建续期脚本/opt/tomcat/ssl/renew_cert.sh：

bash 复制代码 
#!/bin/bash

# 停止Tomcat
systemctl stop tomcat

# 续期证书
certbot renew --quiet --pre-hook "systemctl stop tomcat" \
                         --post-hook "systemctl start tomcat"

# 转换证书格式
openssl pkcs12 -export \
    -in /etc/letsencrypt/live/yourdomain.com/fullchain.pem \
    -inkey /etc/letsencrypt/live/yourdomain.com/privkey.pem \
    -out /opt/tomcat/conf/ssl/yourdomain.p12 \
    -name yourdomain \
    -passout pass:your_keystore_password

keytool -importkeystore \
    -srckeystore /opt/tomcat/conf/ssl/yourdomain.p12 \
    -srcstoretype pkcs12 \
    -srcstorepass your_keystore_password \
    -destkeystore /opt/tomcat/conf/ssl/yourdomain.jks \
    -deststoretype JKS \
    -deststorepass your_keystore_password \
    -alias yourdomain

# 重启Tomcat
systemctl restart tomcat

echo "证书续期完成: $(date)"

7.2 设置定时任务

bash 复制代码 
# 编辑crontab
sudo crontab -e

# 添加以下行（每月1号凌晨3点执行续期）
0 3 1 * * /opt/tomcat/ssl/renew_cert.sh >> /var/log/ssl_renewal.log 2>&1

第八部分：故障排除

常见问题及解决方案

8.1 "Keystore was tampered with, or password was incorrect"
  • 检查密钥库密码是否正确
  • 确认密钥库文件没有损坏
  • 重新生成密钥库文件
8.2 "Certificate does not match private key"
  • 确保证书和私钥匹配
  • 重新执行格式转换步骤
8.3 Tomcat启动失败，端口被占用
bash 复制代码 
# 检查端口占用
sudo netstat -tlnp | grep :443

# 如果被占用，停止相关服务或更改Tomcat端口
8.4 浏览器显示"不安全"警告
  • 确保证书链完整
  • 检查中间证书是否正确安装
  • 验证域名是否与证书匹配

第九部分：性能优化建议

9.1 SSL会话缓存配置

xml 复制代码 
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol">
    <SSLHostConfig sessionTimeout="300"
                   disableSessionTickets="false"
                   insecureRenegotiation="false">
        <Certificate ... />
    </SSLHostConfig>
</Connector>

9.2 启用会话恢复

xml 复制代码 
<SSLHostConfig sessionTimeout="300"
               disableSessionTickets="false">
    <Certificate ... />
</SSLHostConfig>

9.3 选择优化的密码套件

xml 复制代码 
<SSLHostConfig ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
                       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
                       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
                       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384">
    <Certificate ... />
</SSLHostConfig>

结论

通过本文的详细步骤，您应该已经成功在Tomcat上部署了SSL证书，并实现了HTTP到HTTPS的安全升级。SSL/TLS配置虽然复杂，但对于现代Web应用的安全至关重要。定期更新证书、监控SSL配置、遵循安全最佳实践，才能确保您的应用在提供优质服务的同时，保护用户数据的安全。

安全是一个持续的过程，而不是一次性的任务。建议定期：

  1. 更新SSL证书
  2. 检查SSL配置的安全性
  3. 监控SSL/TLS漏洞公告
  4. 使用自动化工具保持配置最新

希望这篇指南对您有所帮助。如果您在配置过程中遇到任何问题，欢迎在评论区留言讨论！

附录：常用命令参考

bash 复制代码 
# 查看证书信息
keytool -list -v -keystore yourdomain.jks

# 测试SSL配置
openssl s_client -connect yourdomain.com:443 -tlsextdebug -status

# 检查证书有效期
openssl x509 -in fullchain.pem -noout -dates

# 导出证书
keytool -export -alias yourdomain -file certificate.crt \
    -keystore yourdomain.jks
相关推荐
2501_916007471 天前
深入理解HTTPS对称与非对称加密机制及Charles抓包实践
网络协议·http·ios·小程序·https·uni-app·iphone
2501_916008891 天前
HTTPS 抓包遇到证书绑定怎么办，使用 TraceEagle 解除 App 证书校验
网络协议·计算机网络·http·网络安全·ios·adb·https
Java面试题总结2 天前
mybatis插件
java·tomcat·mybatis
左左右右左右摇晃2 天前
手写Tomcat原理整理
java·开发语言·笔记·tomcat
触底反弹3 天前
前后端通信不是魔法，是 HTTP 协议、数据格式和浏览器安全机制共同演奏的交响曲
http·https·浏览器
山顶夕景3 天前
【MAE】音频自监督训练Masked Autoencoders that Listen
音视频·ssl·多模态·自监督·mae
froyoisle3 天前
阿里云免费 SSL 证书申请及配置
服务器·阿里云·ssl·网站
Android-Flutter3 天前
Android的http和https知识点
android·http·https
TlSfoward4 天前
TLSFOWARD TLS指纹
开发语言·数据库·爬虫·搜索引擎·https·php
VX_184 天前
域名SSL证书监测平台
网络·网络协议·ssl
热门推荐
012026年7月AI圈大地震：GPT-5.6被政府限制、Claude入驻Slack、Anthropic自研芯片02GitHub 镜像站点03如何新建文件夹？ 电脑新建文件夹的4种方法04AI科技热点日报 | 2026年07月01日05幻兽帕鲁 - 服务器管理员权限与 GM 命令完全指南06国内可直接用、免费额度/永久免费的大模型API清单（含 SiliconFlow、火山、阿里、智谱、百度、Kimi、DeepSeek、DMXAPI 等）07AI 编程 IDE 全景解析 2026：Agent 全面接管开发链路082026 国产 AI 大模型横评：DeepSeek、通义千问、Kimi、文心一言、星火、豆包谁更能打？092026 年 AI 大模型 & AI 编程工具实战全总结10【解构】DeepSeek V4 发布：技术报告深度解读 + 横向对比六大开源模型，我们的判断是……