Tomcat7中怎么配置https

发布时间：2021-06-18 14:51:33 作者：Leah
来源：亿速云阅读：321

# Tomcat7中怎么配置https

## 前言

在当今互联网环境中，数据传输的安全性至关重要。HTTPS（Hypertext Transfer Protocol Secure）作为HTTP的安全版本，通过SSL/TLS协议为数据传输提供加密和身份验证功能。本文将详细介绍如何在Tomcat7服务器上配置HTTPS，确保Web应用通信的安全性。

---

## 一、HTTPS与SSL/TLS基础

### 1.1 HTTPS工作原理
HTTPS = HTTP + SSL/TLS，通过以下机制保障安全：
- **加密传输**：使用对称加密算法（如AES）加密数据
- **身份验证**：通过数字证书验证服务器身份
- **数据完整性**：防止传输过程中被篡改

### 1.2 核心概念
- **密钥库（Keystore）**：存储私钥和证书的Java格式文件
- **信任库（Truststore）**：存储可信任CA证书
- **证书类型**：
  - 自签名证书（测试用）
  - CA签名证书（生产环境）

---

## 二、准备工作

### 2.1 环境要求
- 已安装JDK 1.6+
- Tomcat 7.0.x
- OpenSSL工具（可选）

### 2.2 工具准备
```bash
# 检查keytool工具（JDK自带）
keytool -help

# 检查OpenSSL（可选）
openssl version

三、生成SSL证书

3.1 使用keytool生成自签名证书

keytool -genkeypair \
    -alias tomcat \
    -keyalg RSA \
    -keysize 2048 \
    -validity 365 \
    -keystore /path/to/keystore.jks \
    -storetype JKS \
    -dname "CN=yourdomain.com, OU=IT, O=Company, L=City, ST=State, C=CN" \
    -storepass changeit \
    -keypass changeit

参数说明： - -validity：证书有效期（天） - -keysize：密钥长度（推荐2048位） - -storetype：密钥库类型（JKS/PKCS12）

3.2 从CA获取签名证书（生产环境）

生成CSR请求文件：

keytool -certreq \
    -alias tomcat \
    -file request.csr \
    -keystore keystore.jks

将CSR提交给CA机构（如DigiCert、Let’s Encrypt）
导入CA签发的证书：

keytool -importcert \
    -alias tomcat \
    -file certificate.crt \
    -keystore keystore.jks

四、配置Tomcat7的HTTPS连接

4.1 修改server.xml

定位$CATALINA_HOME/conf/server.xml，找到并修改Connector配置：

<Connector 
    port="8443" 
    protocol="org.apache.coyote.http11.Http11Protocol"
    maxThreads="150" 
    SSLEnabled="true" 
    scheme="https" 
    secure="true"
    keystoreFile="/path/to/keystore.jks"
    keystorePass="changeit"
    clientAuth="false" 
    sslProtocol="TLS"
    ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
            TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
            TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_DSS_WITH_AES_128_GCM_SHA256"
    useServerCipherSuitesOrder="true"/>

关键参数说明： - keystoreFile：密钥库绝对路径 - clientAuth：是否要求客户端证书 - ciphers：推荐的加密套件（禁用不安全的算法）

4.2 可选APR/Native配置

如需使用APR连接器（提升性能）：

<Connector 
    port="8443"
    protocol="org.apache.coyote.http11.Http11AprProtocol"
    SSLEnabled="true" 
    ... />

需安装： - Apache Portable Runtime (APR) - OpenSSL开发库

五、进阶配置

5.1 HTTP自动跳转HTTPS

修改web.xml添加安全约束：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Secure Area</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

5.2 使用Let’s Encrypt免费证书

安装Certbot工具
获取证书：

certbot certonly --webroot -w /var/www/html -d yourdomain.com

转换证书格式：

openssl pkcs12 -export \
    -in /etc/letsencrypt/live/yourdomain.com/fullchain.pem \
    -inkey /etc/letsencrypt/live/yourdomain.com/privkey.pem \
    -out keystore.p12 \
    -name tomcat \
    -passout pass:changeit

六、验证与排错

6.1 测试HTTPS连接

curl -v -k https://localhost:8443

或浏览器访问https://yourdomain.com:8443

6.2 常见问题解决

证书不受信任：
- 导入CA根证书到信任库
- 或为自签名证书添加例外
端口冲突：
- 检查netstat -tulnp | grep 8443
- 修改server.xml中的端口号
性能优化：
- 启用会话票证（Session Tickets）
- 配置OCSP Stapling

七、安全最佳实践

定期更新证书：设置提醒在到期前续订
禁用弱加密算法：
```
sslEnabledProtocols="TLSv1.2,TLSv1.3"
```

启用HSTS：在web.xml添加：


<filter>
   <filter-name>httpHeaderSecurity</filter-name>
   <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
   <init-param>
       <param-name>hstsEnabled</param-name>
       <param-value>true</param-value>
   </init-param>
</filter>

结语

通过本文的步骤，您已成功在Tomcat7上配置了HTTPS服务。建议生产环境使用CA签名的证书，并定期进行安全审计。随着TLS 1.3的普及，未来可考虑升级到新版Tomcat以获得更好的性能和安全特性。

注意：本文示例中的密码应替换为实际使用的强密码，密钥文件需妥善保管。 “`

（全文约2250字，实际字数可能因格式略有差异）