Tomcat安装证书

准备文件：

1：jks文件或是（PFX文件）

2：keystorePass，证书密码

没有jks或者是pfx文件，可以提供证书文件(CRT/CER文件)和密钥文件(KEY文件)自己合成。（附一个ssl在线合成网站：https://www.myssl.cn/tools/merge-jks-cert.html）

PFX证书安装教程可参考

https://www.alibabacloud.com/help/zh/doc-detail/98576.htm?spm=a2c63.p38356.b99.53.f856317dvZb5Q6https://www.alibabacloud.com/help/zh/doc-detail/98908.htm?spm=a2c63.p38356.b99.54.59d7317dWlNu1W

操作步骤

1：将.jks文件放置到Tomcat某个位置（我放的是service.xml同级cert目录，可根据需要修改，修改完建议写相对路径）；

2：修改server.xml文件。开放443端口，并把HTTP/1.1和AJP/1.3的redirectPort都设置成443，修改完请将443加防火墙例外，不然无法访问系统。这里是将80端口指向443端口。

3：keyAlias标签是证书别名，如果不知道或者没有请删除，否则启动报错。

4：Linux下设置keystoreFile路径时前面不要写/，否则将认为是绝对路径不能使用。

5：keystorePass密码尽量不要带&符号，如果学校给的有需要在后面加上amp;进行转义。

<Connector URIEncoding="utf-8" executor="tomcatThreadPool" port="80" protocol="HTTP/1.1" 
               connectionTimeout="20000" 
               redirectPort="443" />
			   
<Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" keystoreFile="/cert/ssl.jks"  keystorePass="123456" keyAlias="ssl"/>

禁用AJP不安全协议
    <!--<Connector port="8009" protocol="AJP/1.3" redirectPort="443" />-->

6：修改web.xml文件配置http自动跳转到https

<login-config>
        <!-- Authorization setting for SSL -->
        <auth-method>CLIENT-CERT</auth-method>
        <realm-name>Client Cert Users-only Area</realm-name>
</login-config>

<security-constraint>
        <!-- Authorization setting for SSL -->
        <web-resource-collection >
            <web-resource-name >SSL</web-resource-name>
            <url-pattern>/*</url-pattern>
        </web-resource-collection>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
</security-constraint>

7：如果学校采用了域名访问，请老师对域名授权即可正常访问系统。

8：系统漏扫发现SSL/TLS协议信息泄露漏洞(CVE-2016-2183)，处理方案https://my.oschina.net/u/4314965/blog/4243770，在server.xml中添加两行

sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"  --如果配置只支持TLS1.2把其他删除即可。  ciphers="TLS_ECDHE_RSA_WITAES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA"

证书安装后为什么访问还提醒不安全？原因是部分浏览器（例如谷歌）已经不再支持TLSv1,TLSv1.1了，但是如果系统使用的jdk1.6无法满足，建议老师使用360。要想解决只能升级JDK版本，禁用TLSv1,TLSv1.1。

9：pfx格式证书

网上有说在web.xml中加<login-config> 标签，pfx加完系统报错，去掉后正常，实践中用的不多，大家可以操作试试。