Tomcat10 HTTPS配置避雷

在给Tomcat10配置https协议时，照着网上的资料一遍遍修改配置文件，都没起作用......

后来去tomcat的官网上查看了Tomcat10的"SSL/TLS Configuration How-To"这篇文章，成功避雷，完成了https协议的配置，附成功截图：

---

开始正文：

Tomcat配置HTTPS协议主要有三个步骤：

1. 申请证书及配置
2. 配置server.xml
3. 配置web.xml

1.申请证书及配置

证书我用的是在阿里云申请的免费证书，申请的教程网上有好多，就不一一赘述了。

我申请的是jks类型的证书，这是Java格式的证书，常用于tomcat服务器

证书申请下来后，我们下载完成后，在服务器的tomcat根目录下创建一个cert文件夹，把下载下来的证书名称.jks和jks-password.txt上传到这个目录

2.配置server.xml

首先，修改tomcat的端口8080为80，8443端口为443，修改后的文件配置为下：

    <Connector port="80" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="443" />

然后，我们要把87行附近的Connector这个标签取消注释，现在就到了最坑的地方

网上的教程，大多数都把这里的配置改为类似于下面这种：

<Connector port="443"
    protocol="org.apache.coyote.http11.Http11Protocol"
    SSLEnabled="true"
    scheme="https"
    secure="true"
    keystoreFile="/xxx/tomcat/cert/restlessman.cn.jks"
    keystoreType="PKCS12"
    keystorePass="xxxxx"
    clientAuth="false"
    SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
    ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>

结果折腾了两小时，迟迟不能访问到tomcat页面。后来去tomcat官方网站，官网给出的建议是（文章链接 https://tomcat.apache.org/tomcat-10.0-doc/ssl-howto.html）：

原先根据大部分教程修改的配置（错误的❌）：

<Connector port="443"
    protocol="HTTP/1.1"
    SSLEnabled="true"
    scheme="https"
    secure="true"
    keystoreFile="/usr/tomcat/apache-tomcat-10.0.5/cert/xxxx.jks"
    keystorePass="ocSCy8ut"
    clientAuth="false"
    SSLProtocol="TLSv1+TLSv1.1+TLSv1.2"
    ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256">
        <SSLHostConfig>
		<Certificate certificateKeystoreFile="/usr/tomcat/apache-tomcat-10.0.5/cert/xxxx.jks"
                         type="RSA" />
        </SSLHostConfig>
    </Connector>

更具Tomcat官网给出的办法修改后的配置(正确的√)：

<Connector
    protocol="org.apache.coyote.http11.Http11NioProtocol"
    port="443"
    maxThreads="150"
    SSLEnabled="true">
  <SSLHostConfig>
    <Certificate
      certificateKeystoreFile="/usr/tomcat/apache-tomcat-10.0.5/cert/xxxxx.jks"
      certificateKeystorePassword="ocSCy8ut"
      type="RSA"
      />
    </SSLHostConfig>
</Connector>

3.web.xml配置

web.xml主要是添加配置，使任何访问本网站的请求都重定向为https协议

在web.xml最后的<welcome-file-list>标签后面添加下列内容，即可完成重定向的配置：

<security-constraint>
    <web-resource-collection >
        <web-resource-name >SSL</web-resource-name>
        <url-pattern>/*</url-pattern>
   </web-resource-collection>

   <user-data-constraint>
       <transport-guarantee>CONFIDENTIAL</transport-guarantee>
   </user-data-constraint>
</security-constraint>

---

重启tomcat服务后，访问你的网站，即可看到http被重定向到了https。