为Tomcat部署SSL证书：从零到一的HTTPS配置指南

亲爱的非洲野猪2025-12-05 8:49

在现代Web应用开发中，HTTPS已不再是可选项，而是安全标配。本文将详细讲解如何在Tomcat服务器上部署SSL证书，实现HTTP到HTTPS的安全升级。

前言：为什么需要HTTPS？

在开始技术细节之前，我们先明确一下HTTPS的重要性：

  • 数据加密：防止传输过程中被窃听
  • 身份验证：确保用户访问的是真实服务器
  • 数据完整性：防止传输过程中被篡改
  • SEO优势：搜索引擎对HTTPS网站有排名倾斜
  • 浏览器信任：现代浏览器会对HTTP网站标记"不安全"

第一部分：准备工作

1.1 环境要求

  • JDK 8或更高版本
  • Tomcat 8.5或更高版本（本文以Tomcat 9为例）
  • 有效的SSL证书（购买或使用免费证书）

1.2 证书类型说明

复制代码 
1. 域名验证证书（DV） - 基本验证，适用于个人网站
2. 组织验证证书（OV） - 验证组织信息，适用于企业
3. 扩展验证证书（EV） - 最高验证级别，显示绿色地址栏
4. 通配符证书（*） - 保护主域名和所有子域名

1.3 获取SSL证书的途径

  • 商业CA：DigiCert、GlobalSign、Sectigo等
  • 免费CA：Let's Encrypt（90天有效期）
  • 自签名证书：仅用于测试环境

第二部分：获取SSL证书

2.1 使用Let's Encrypt获取免费证书（推荐测试使用）

bash 复制代码 
# 安装Certbot客户端
sudo apt update
sudo apt install certbot

# 获取证书（需要域名已解析到服务器）
sudo certbot certonly --standalone -d yourdomain.com -d www.yourdomain.com

# 证书文件位置：
# /etc/letsencrypt/live/yourdomain.com/fullchain.pem  # 证书链
# /etc/letsencrypt/live/yourdomain.com/privkey.pem    # 私钥

2.2 商业证书申请流程

  1. 在证书提供商处购买证书
  2. 生成证书签名请求（CSR）
  3. 完成域名/组织验证
  4. 下载证书文件（通常包含.crt/.cer和.ca-bundle文件）

第三部分：Tomcat SSL证书部署

3.1 证书文件准备

将获取的证书文件复制到Tomcat配置目录：

bash 复制代码 
# 创建证书存放目录
sudo mkdir -p /opt/tomcat/conf/ssl

# 复制证书文件（以Let's Encrypt为例）
sudo cp /etc/letsencrypt/live/yourdomain.com/fullchain.pem /opt/tomcat/conf/ssl/
sudo cp /etc/letsencrypt/live/yourdomain.com/privkey.pem /opt/tomcat/conf/ssl/

# 修改文件权限（重要！）
sudo chown tomcat:tomcat /opt/tomcat/conf/ssl/*
sudo chmod 600 /opt/tomcat/conf/ssl/privkey.pem
sudo chmod 644 /opt/tomcat/conf/ssl/fullchain.pem

3.2 配置server.xml文件

打开Tomcat的conf/server.xml文件，找到并修改Connector配置：

xml 复制代码 
<!-- 找到以下部分（约在116行附近） -->
<!--
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/localhost-rsa.jks"
                     type="RSA" />
    </SSLHostConfig>
</Connector>
-->

<!-- 替换为以下配置 -->
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true"
           scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="/opt/tomcat/conf/ssl/yourdomain.jks"
           keystorePass="your_keystore_password"
           keyAlias="yourdomain">
           
    <!-- 启用HTTP/2（Tomcat 8.5+） -->
    <UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol" />
    
    <!-- 配置SSL参数 -->
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="/opt/tomcat/conf/ssl/yourdomain.jks"
                     type="RSA"
                     keystorePass="your_keystore_password"
                     keyAlias="yourdomain" />
    </SSLHostConfig>
</Connector>

3.3 配置web.xml强制HTTPS（可选）

在webapps/your-app/WEB-INF/web.xml中添加安全约束：

xml 复制代码 
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Entire Application</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

第四部分：证书格式转换

4.1 PEM格式转换为JKS格式（Tomcat需要）

Tomcat通常使用JKS或PKCS12格式的密钥库，如果您的证书是PEM格式：

bash 复制代码 
# 1. 将PEM证书和私钥合并为PKCS12格式
openssl pkcs12 -export \
    -in /opt/tomcat/conf/ssl/fullchain.pem \
    -inkey /opt/tomcat/conf/ssl/privkey.pem \
    -out /opt/tomcat/conf/ssl/yourdomain.p12 \
    -name yourdomain \
    -passout pass:your_keystore_password

# 2. 将PKCS12转换为JKS格式
keytool -importkeystore \
    -srckeystore /opt/tomcat/conf/ssl/yourdomain.p12 \
    -srcstoretype pkcs12 \
    -srcstorepass your_keystore_password \
    -destkeystore /opt/tomcat/conf/ssl/yourdomain.jks \
    -deststoretype JKS \
    -deststorepass your_keystore_password \
    -alias yourdomain

# 3. 验证JKS文件
keytool -list -v -keystore /opt/tomcat/conf/ssl/yourdomain.jks \
    -storepass your_keystore_password

4.2 商业证书的格式处理

如果从商业CA获得的是.crt和.key文件：

bash 复制代码 
# 合并证书链（如果需要）
cat yourdomain.crt intermediate.crt root.crt > fullchain.pem

# 然后按照4.1的步骤转换

第五部分：高级配置与优化

5.1 配置HTTP重定向到HTTPS

在conf/server.xml中添加HTTP重定向：

xml 复制代码 
<!-- 在原有的HTTP Connector后添加redirectPort -->
<Connector port="80" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="443" />

5.2 配置HSTS（HTTP Strict Transport Security）

在conf/web.xml中添加过滤器：

xml 复制代码 
<filter>
    <filter-name>httpHeaderSecurity</filter-name>
    <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
    <init-param>
        <param-name>hstsEnabled</param-name>
        <param-value>true</param-value>
    </init-param>
    <init-param>
        <param-name>hstsMaxAgeSeconds</param-name>
        <param-value>31536000</param-value>
    </init-param>
    <init-param>
        <param-name>hstsIncludeSubDomains</param-name>
        <param-value>true</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>httpHeaderSecurity</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

5.3 启用OCSP装订（提高SSL握手性能）

xml 复制代码 
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="/opt/tomcat/conf/ssl/yourdomain.jks"
                     keystorePass="your_keystore_password"
                     type="RSA"
                     keyAlias="yourdomain" />
        
        <!-- 启用OCSP装订 -->
        <Certificate certificateRevocationListFile="conf/revocation_list.crl"
                     revocationEnabled="true" />
    </SSLHostConfig>
</Connector>

第六部分：测试与验证

6.1 重启Tomcat并测试

bash 复制代码 
# 重启Tomcat
sudo systemctl restart tomcat

# 或者使用Tomcat的脚本
cd /opt/tomcat/bin
./shutdown.sh
./startup.sh

# 查看启动日志
tail -f /opt/tomcat/logs/catalina.out

6.2 使用OpenSSL测试连接

bash 复制代码 
# 测试SSL握手
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

# 测试特定协议版本
openssl s_client -connect yourdomain.com:443 -tls1_2

6.3 在线SSL检测工具

第七部分：自动化与续期

7.1 自动续期Let's Encrypt证书

创建续期脚本/opt/tomcat/ssl/renew_cert.sh：

bash 复制代码 
#!/bin/bash

# 停止Tomcat
systemctl stop tomcat

# 续期证书
certbot renew --quiet --pre-hook "systemctl stop tomcat" \
                         --post-hook "systemctl start tomcat"

# 转换证书格式
openssl pkcs12 -export \
    -in /etc/letsencrypt/live/yourdomain.com/fullchain.pem \
    -inkey /etc/letsencrypt/live/yourdomain.com/privkey.pem \
    -out /opt/tomcat/conf/ssl/yourdomain.p12 \
    -name yourdomain \
    -passout pass:your_keystore_password

keytool -importkeystore \
    -srckeystore /opt/tomcat/conf/ssl/yourdomain.p12 \
    -srcstoretype pkcs12 \
    -srcstorepass your_keystore_password \
    -destkeystore /opt/tomcat/conf/ssl/yourdomain.jks \
    -deststoretype JKS \
    -deststorepass your_keystore_password \
    -alias yourdomain

# 重启Tomcat
systemctl restart tomcat

echo "证书续期完成: $(date)"

7.2 设置定时任务

bash 复制代码 
# 编辑crontab
sudo crontab -e

# 添加以下行（每月1号凌晨3点执行续期）
0 3 1 * * /opt/tomcat/ssl/renew_cert.sh >> /var/log/ssl_renewal.log 2>&1

第八部分：故障排除

常见问题及解决方案

8.1 "Keystore was tampered with, or password was incorrect"
  • 检查密钥库密码是否正确
  • 确认密钥库文件没有损坏
  • 重新生成密钥库文件
8.2 "Certificate does not match private key"
  • 确保证书和私钥匹配
  • 重新执行格式转换步骤
8.3 Tomcat启动失败，端口被占用
bash 复制代码 
# 检查端口占用
sudo netstat -tlnp | grep :443

# 如果被占用，停止相关服务或更改Tomcat端口
8.4 浏览器显示"不安全"警告
  • 确保证书链完整
  • 检查中间证书是否正确安装
  • 验证域名是否与证书匹配

第九部分：性能优化建议

9.1 SSL会话缓存配置

xml 复制代码 
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol">
    <SSLHostConfig sessionTimeout="300"
                   disableSessionTickets="false"
                   insecureRenegotiation="false">
        <Certificate ... />
    </SSLHostConfig>
</Connector>

9.2 启用会话恢复

xml 复制代码 
<SSLHostConfig sessionTimeout="300"
               disableSessionTickets="false">
    <Certificate ... />
</SSLHostConfig>

9.3 选择优化的密码套件

xml 复制代码 
<SSLHostConfig ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
                       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
                       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
                       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384">
    <Certificate ... />
</SSLHostConfig>

结论

通过本文的详细步骤，您应该已经成功在Tomcat上部署了SSL证书，并实现了HTTP到HTTPS的安全升级。SSL/TLS配置虽然复杂，但对于现代Web应用的安全至关重要。定期更新证书、监控SSL配置、遵循安全最佳实践，才能确保您的应用在提供优质服务的同时，保护用户数据的安全。

安全是一个持续的过程，而不是一次性的任务。建议定期：

  1. 更新SSL证书
  2. 检查SSL配置的安全性
  3. 监控SSL/TLS漏洞公告
  4. 使用自动化工具保持配置最新

希望这篇指南对您有所帮助。如果您在配置过程中遇到任何问题，欢迎在评论区留言讨论！

附录：常用命令参考

bash 复制代码 
# 查看证书信息
keytool -list -v -keystore yourdomain.jks

# 测试SSL配置
openssl s_client -connect yourdomain.com:443 -tlsextdebug -status

# 检查证书有效期
openssl x509 -in fullchain.pem -noout -dates

# 导出证书
keytool -export -alias yourdomain -file certificate.crt \
    -keystore yourdomain.jks
相关推荐
柒.梧.1 小时前
Servlet原理和Tomcat原理的知识总结
java·servlet·tomcat
2501_915106321 小时前
iPhone 耗电异常全面诊断指南，构建多工具协同的电量分析与优化体系
android·ios·小程序·https·uni-app·iphone·webview
7澄11 小时前
Java Web 底层解析：Servlet 执行流程、Tomcat 工作原理与自定义 Tomcat 实现
java·前端·servlet·tomcat·自定义tomcat·tomcat执行流程·servlet执行流程
LSL666_2 小时前
6 Tomcat介绍
tomcat·目录
feathered-feathered2 小时前
网络原理——应用层协议HTTP/HTTPS（重点较为突出）
java·网络·后端·网络协议·http·https
“αβ”10 小时前
MySQL表的操作
linux·网络·数据库·c++·网络协议·mysql·https
丁丁丁梦涛15 小时前
EMQX配置 ssl 和 wss
网络·网络协议·ssl·emqx·wss
Wokoo716 小时前
HTTP不同版本核心对比
网络·网络协议·tcp/ip·http·udp·ssl
GDAL18 小时前
客户端与服务器SSL协议/加密套件不兼容：完整解决方案
服务器·ssl
热门推荐
01GitHub 镜像站点02【超详细教程】手把手教你从微软官网免费下载Windows 10官方原版ISO镜像（2025最新版）03UV安装并设置国内源04React CVE-2025-55182漏洞排查与修复指南05安娜的档案(Anna’s Archive) 镜像网站/国内最新可访问入口（持续更新）06BongoCat - 跨平台键盘猫动画工具07本地部署阿里最新开源的Z-Image08Linux下V2Ray安装配置指南09智能库存管理的需求预测模型：从业务痛点到落地代码的完整实践10Labelme从安装到标注：零基础完整指南