配置Tomcat自签名证书 通过https访问

01 创建保存路径

在JDK安装目录中找到keytool.exe 在服务器磁盘根目录下创建cert文件夹

# 跳转到keytool.exe的目录下
cd C:\Program Files\Java\jdk1.8.0_162\bin

02 服务器生成证书

#命令中如果是IP方式访问用-ext SAN=ip:127.0.0.1，如果是域名用 -ext SAN=dns:www.123.com，注意“您的名字与姓氏是什么?”就是你的IP或域名，其他根据自己需要填写
keytool -genkey -v -alias tomcat -keyalg RSA -ext SAN=ip:127.0.0.1 -keystore C:\cert\tomcat.keystore -validity 36500

1. 输入密钥库口令：123456(自己设置一个密码，后面有用，复杂一些)
2. 再次输入新口令：123456
3. 您的名字与姓氏是什么？127.0.0.1 （ip地址或域名）
4. 你的组织单位名称是什么？（按照实际填写）
5. 您的组织名称是什么？（按照实际填写）
6. 您所在城市或区域名称是什么？（按照实际填写）
7. 您所在的州或者省份名称是什么？（按照实际填写）
8. 该单位的两字母国家代码是什么？China （按照实际填写）
9. 在系统询问“正确吗？”时，对照输入信息，如果符合要求则使用键盘输入字母“y”，否则输入“n”重新填写上面的信息。 y
10. 输入tomcat的密钥口令：123456 （与上方密码一致即可）
11. 再次输入新口令：123456

03 客户端生成证书

# 客户端生成证书
keytool -genkey -v -alias mykey -keyalg RSA -validity 36500 -storetype PKCS12 -keystore C:\cert\client.p12

1. 输入密钥库口令：666666(自己设置一个密码，后面有用，复杂一些)
2. 再次输入新口令：666666
3. 您的名字与姓氏是什么？127.0.0.1 （ip地址或域名）
4. 你的组织单位名称是什么？（按照实际填写）
5. 您的组织名称是什么？（按照实际填写）
6. 您所在城市或区域名称是什么？（按照实际填写）
7. 您所在的州或者省份名称是什么？（按照实际填写）
8. 该单位的两字母国家代码是什么？China （按照实际填写）
9. 在系统询问“正确吗？”时，对照输入信息，如果符合要求则使用键盘输入字母“y”，否则输入“n”重新填写上面的信息。 y

04 服务器信任客户端证书

(1)双向SSL认证

# 由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入，必须先把客户端证书导出为一个单独的CER文件，-storepass后面是客户端证书输入的密码：
keytool -export -alias mykey -keystore C:\cert\client.p12 -storetype PKCS12 -storepass 666666 -rfc -file C:\cert\client.cer

(2)导入服务器的证书库

# 将该文件导入到服务器的证书库，添加为一个信任证书
keytool -import -v -file C:\cert\client.cer -keystore C:\cert\tomcat.keystore

输入密钥库口令：123456 (生成tomcat.keystore口令)
是否信任此证书？ y

(3)查看服务器的证书库

# 通过 list 命令查看服务器的证书库，可以看到两个证书，一个是服务器证书，一个是受信任的客户端证书
keytool -list -keystore C:\cert\tomcat.keystore

输入密钥库口令：123456 (生成tomcat.keystore口令)

05 客户端信任服务器证书

# 把服务器证书导出为一个单独的CER文件提供给客户端，使用如下命令：
keytool -keystore C:\cert\tomcat.keystore -export -alias tomcat -file C:\cert\tomcat.cer

输入密钥库口令：123456 (生成tomcat.keystore口令)
到此，生成证书的操作已经完成

①、 tomcat.cer 提供给客户端，tomcat.keystore供服务器使用
②、将 tomcat.cer 导入到浏览器“受信任的根证书颁发机构”区域，这样是为了让浏览器信任服务器。
③、将 client.p12 导入到浏览器“个人”区域，这样是为了让服务器信任浏览器，访问时会提示选择这个证书。（如果clientAuth="false"不需要）

06 修改Tomcat配置信息

(1) server.xml

<!--打开Tomcat根目录下的/conf/server.xml，找到Connector port="8443"配置段，clientAuth="false" 单向认证 修改为如下：-->
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
SSLEnabled="true" maxThreads="150" URIEncoding="utf-8" scheme="https"  maxSwallowSize="-1"
secure="true" clientAuth="true" sslProtocol="TLS"
keystoreFile="C:\\cert\\tomcat.keystore" keystorePass="123456"
truststoreFile="C:\\cert\\tomcat.keystore" truststorePass="123456" />

(2) http重定向端口

<!--修改http重定向端口redirectPort="8443"修改为redirectPort="443"-->
<Connector connectionTimeout="60000" port="8080" protocol="HTTP/1.1" redirectPort="443" maxSwallowSize="-1"/>

(3) 注释以下配置（可忽略，如果不能访问可以尝试注掉）

<!--<Listener SSLEngine="on" className="org.apache.catalina.core.AprLifecycleListener"/>-->

(4) web.xml

<!--开启http 自动跳转 https端口-->
<login-config>
<!-- Authorization setting for SSL -->
  <auth-method>CLIENT-CERT</auth-method>
  <realm-name>Client Cert Users-only Area</realm-name>
</login-config>
<security-constraint>
  <!-- Authorization setting for SSL -->
  <web-resource-collection >
    <web-resource-name >SSL</web-resource-name>
    <url-pattern>/*</url-pattern>
  </web-resource-collection>
  <user-data-constraint>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
  </user-data-constraint>
</security-constraint>