java基础总结(三十三)--Tomcat配置SSL

￡神魔★判官ぃ 2022-03-21 05:48 241阅读 0赞

来自[https://blog.csdn.net/xiaoxian8023/article/details/49619777][https_blog.csdn.net_xiaoxian8023_article_details_49619777]

本篇博文不讲概念，只介绍如何在Tomcat中配置SSL，以支持Https协议。如果图中与正文描述不符，以正文为主，部分图片是借鉴的。

一、创建证书  
       证书是单点登录认证系统中很重要的一把钥匙，客户端于服务器的交互安全靠的就是证书；这里由于是演示，所以就自己用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去证书提供商去购买，证书认证一般都是由VeriSign认证，中文官方网站：http://www.verisign.com/cn/

用JDK自带的keytool工具生成证书：

keytool -genkey -alias wsria -keyalg RSA -keystore d:/keys/wsriakey  
       无图不给力，有图有真相：  
![Center][]

二、修改hosts  
      具体的输入项图片中都有说明，有一点我要解释一下；在输入完密码后提示输入域名是我输入的是sso.wsria.com，其实这个域名是不存在的，但是我为了演示所以虚拟了这个域名，技巧在于修改

C:\\Windows\\System32\\drivers\\etc\\hosts  
       添加内容如下：

127.0.0.1 sso.wsria.com  
       这样在访问sso.wsria.com的时候其实是访问的127.0.0.1也就是本机

严重提醒：提示输入域名的时候不能输入IP地址

如果你想立马看到效果，现在可以直接跳转到第五步了。

三、导出证书  
keytool -export -file d:/keys/wsria.crt -alias wsria -keystore d:/keys/wsriakey  
       特别提示：如果提示：

keytool error: java.io.IOException: Keystore was tampered with, or password was incorrect  
       那么请输入密码：changeit

来点颜色：  
![Center 1][]

至此导出证书完成，可以分发给应用的JDK使用了，接下来讲解客户端的JVM怎么导入证书。

四、为客户端的JVM导入证书  
keytool -import -keystore "C:\\Program Files\\Java\\jdk1.7.0\_71\\jre\\lib\\security\\cacerts" -file D:/keys/wsria.crt -alias wsria  
keytool -import -keystore "C:\\Program Files\\Java\\jre7\\lib\\security\\cacerts" -file D:/keys/wsria.crt -alias wsria  
       特别提示：如果提示：

keytool error: java.io.IOException: Keystore was tampered with, or password was incorrect  
       那么请输入密码：changeit

来点颜色瞧瞧：  
![Center 2][]

特别说明  
C:\\Program Files\\Java\\jdk1.7.0\_71\\jre\\lib\\security\\cacerts -- 是jre的目录；密码还是刚刚输入的密码。至此证书的创建、导出、导入到客户端JVM都已完成，下面开始使用证书到Web服务器中，本教程使用tomcat。

如果你想删除，使用命令如下：

keytool -delete -alias wsria -keystore "C:\\Program Files\\Java\\jdk1.7.0\_71\\jre\\lib\\security\\cacerts" -storepass changeit  
keytool -delete -alias wsria -keystore "C:\\Program Files\\Java\\jre7\\lib\\security\\cacerts" -storepass changeit  
五、应用证书到Web服务器-Tomcat  
       启用Web服务器(Tomcat)的SSL，也就是HTTPS加密协议，准备好一个干净的tomcat，本教程使用的apache-tomcat-6.0.29 打开tomcat目录的conf/server.xml文件，开启83和87行的注释代码，并设置keystoreFile、keystorePass修改结果如下：

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"  
                   maxThreads="150" scheme="https" secure="true"  
                   clientAuth="false" sslProtocol="TLS"   
               keystoreFile="D:/keys/wsriakey"  
               keystorePass="wsria.com"  
    />

参数说明：  
keystoreFile：在第一步创建的key存放位置  
keystorePass：创建证书时的密码  
       好了，到此Tomcat的SSL启用完成，现在你可以启动tomcat试一下了，

如果启动报错：

java.lang.Exception: Connector attribute SSLCertificateFile must be defined when using SSL with APR

需要修改conf/server.xml注释掉下面一段，关闭APR

<Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />

重启正常。网上还有另一种解决方案，暂时未实验，就是用openssl来导入证书。

现在如果访问https://sso.wsria.com:8443/的话，ie会提示你“此网站的安全证书有问题”,chrome提示“您的连接不是私密连接”。

这时，需要安装证书，直接双击d:/keys/wsria.crt文件，把证书安装在“受信任的根证书颁发机构”即可。然后重新打开网址就会看到变成绿色小锁了。如果不行的话，就重启浏览器。

注意：在创建证书时，证书的姓名写的是域名，即证书的颁发者是域名，当前访问地址也是域名。所以才证书才被信任。如果使用https://127.0.0.1:8443/还是会提示证书不安全。  
![Center 3][]

![Center 4][]

[https_blog.csdn.net_xiaoxian8023_article_details_49619777]: https://blog.csdn.net/xiaoxian8023/article/details/49619777
[Center]: /images/20220321/d131d657c25045b2ab310e66dda7df1e.png
[Center 1]: /images/20220321/bc373a9929234f478e37be63aa39525b.png
[Center 2]: /images/20220321/f0d3011ed2a54e4db5ca2d3ca7d650af.png
[Center 3]: /images/20220321/1c2b10a191484d14b0606b82bfec33cc.png
[Center 4]: /images/20220321/b087617a3d3a40139533b4ba329b5f54.png