tomcat8.0.23配置https连接

最新推荐文章于 2025-05-31 01:22:27 发布

原创最新推荐文章于 2025-05-31 01:22:27 发布 · 779 阅读

0 ·

CC 4.0 BY-SA版权

持续集成同时被 2 个专栏收录

3 篇文章

订阅专栏

tomcat

1 篇文章

订阅专栏

博客介绍了https证书的制作、部署及强制访问配置。使用jdk自带的keytool工具制作开发测试用证书，包括新生成密钥库、添加新密钥等操作。还讲述了将密钥库文件复制到tomcat目录、修改配置文件，解决发布部署时文件变化问题，最后实现强制https访问。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

制作证书

众所周知，https协议需要证书，为了开发去CA买证书是浪费，使用jdk自带的keytool工具做一个开发测试用足够。
https://docs.oracle.com/javase/8/docs/technotes/tools/windows/keytool.html#CHDBGFHE
上面是jdk8的keytool的官方文档连接。可用命令不算少，常用的也就几个。

新生成一个密钥库

${JAVA_HOME}/bin/keytool -alias tomcat_test -keyalg RSA -validity 36500 -storepass 123456 -genkeypair -keystore ./test.jks -v

-alias tomcat_test：证书项的名字，必填项
-keyalg RSA：证书签名算法，tomcat建议RSA
-validity 36500：证书有效期，36500天，即100年
-storepass 123456：密钥库密码，也就是等下要生成的test.keystore的访问密码，妥善保管
-keystore ./test.keystore：要生成的文件的位置，./test.keystore表示存储在当前目录下
-v：该选项会将信息以易读格式展示

向已存在密钥库添加新密钥

${JAVA_HOME}/bin/keytool -genkeypair -alias tomcat_test_ip -keyalg RSA -validity 36500 -keystore ./test.jks -v

-alias tomcat_test_ip：新密钥的名字
-keystore ./test.jks：刚才生成的密钥库文件的位置

查看密钥库中的项

${JAVA_HOME}/bin/keytool -list -keystore ./test.jks
${JAVA_HOME}/bin/keytool -list -keystore ./test.jks -v

copy密钥库文件

将刚才生成的密钥库文件copy到你tomcat的conf目录，跟server.xml同级。

修改tomcat配置文件

<Connector connectionTimeout="20000" port="80" protocol="HTTP/1.1" redirectPort="443"/>
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" keystoreFile="${catalina.base}/conf/test.jks"
               keystorePass="123456"/>

要修改的配置文件是tomcat的server.xml文件。仔细看上面的配置，第一个Connector是默认就有的，这里只是把8080端口改成了公认的80端口，把8443端口改成了公认的443端口。第二个Connector默认是注释掉的，搜索8443就能找到，直接把上述第二个Connector粘贴到server.xml中第一个Connector的下面，方便管理。keystoreFile="${catalina.base}/conf/test.keystore"就是刚才copy的文件的位置，可以自己改到其他位置。keystorePass=”123456”就是刚才创建密钥库时使用的口令。

发布部署

通过Jenkins发布部署后，在tomcat启动时发现错误：

Tomcat started.
	at org.apache.catalina.startup.Bootstrap.main(Bootstrap.java:484)
Caused by: org.apache.catalina.LifecycleException: Protocol handler initialization failed
	at org.apache.catalina.connector.Connector.initInternal(Connector.java:962)
	at org.apache.catalina.util.LifecycleBase.init(LifecycleBase.java:102)
	... 12 more
Caused by: java.io.IOException: Invalid keystore format
	at sun.security.provider.JavaKeyStore.engineLoad(JavaKeyStore.java:650)
	at sun.security.provider.JavaKeyStore$JKS.engineLoad(JavaKeyStore.java:55)
	at java.security.KeyStore.load(KeyStore.java:1445)
	at org.apache.tomcat.util.net.jsse.JSSESocketFactory.getStore(JSSESocketFactory.java:440)
	at org.apache.tomcat.util.net.jsse.JSSESocketFactory.getKeystore(JSSESocketFactory.java:339)
	at org.apache.tomcat.util.net.jsse.JSSESocketFactory.getKeyManagers(JSSESocketFactory.java:597)
	at org.apache.tomcat.util.net.jsse.JSSESocketFactory.getKeyManagers(JSSESocketFactory.java:537)
	at org.apache.tomcat.util.net.NioEndpoint.bind(NioEndpoint.java:358)
	at org.apache.tomcat.util.net.AbstractEndpoint.init(AbstractEndpoint.java:737)
	at org.apache.coyote.AbstractProtocol.init(AbstractProtocol.java:457)
	at org.apache.coyote.http11.AbstractHttp11JsseProtocol.init(AbstractHttp11JsseProtocol.java:120)
	at org.apache.catalina.connector.Connector.initInternal(Connector.java:960)
	... 13 more

对比文件信息发现每次发布部署后test.jks都是一个新的文件，查找资料得知maven-resources-plugin 在拷贝resources 文件时进行 encoding 会“误伤二进制文件”，导致文件发生了变化。

pom.xml文件中添加maven-resources-plugin配置后，再次构建部署，test.jks文件内容未发生改变。

<plugin><!-- 取消文件 filter替换 -->
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-resources-plugin</artifactId>
    <configuration>
        <nonFilteredFileExtensions>
            <!-- 秘钥文件后缀  jks -->
            <nonFilteredFileExtension>jks</nonFilteredFileExtension>
        </nonFilteredFileExtensions>
    </configuration>
</plugin>

还有另一种配置方式：

<resources>
...
    <resource>
        <directory>src/main/resources</directory>
        <filtering>true</filtering>
        <excludes>
            <exclude>certificate/*.jks</exclude>
        </excludes>
    </resource>
    <resource>
        <directory>src/main/resources</directory>
        <filtering>false</filtering>
        <includes>
            <include>certificate/*.jks</include>
        </includes>
    </resource>
...
</resources>

强制https访问

在 $CATALINA_HOME/conf/web.xml 中的 </welcome-file-list> 后面加上以下内容

 <login-config>  
    <!-- Authorization setting for SSL -->  
    <auth-method>CLIENT-CERT</auth-method>  
    <realm-name>Client Cert Users-only Area</realm-name>  
</login-config>  
<security-constraint>  
    <!-- Authorization setting for SSL -->  
    <web-resource-collection >  
        <web-resource-name >SSL</web-resource-name>  
        <url-pattern>/*</url-pattern>  
    </web-resource-collection>  
    <user-data-constraint>  
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>  
    </user-data-constraint>  
</security-constraint>

完成以上步骤后，在浏览器中输入http的访问地址也会自动转换为https了。