设置Tomcat的https访问

参考:http://www.cnblogs.com/zhangzb/p/5200418.html

第一步:使用java命令生成keystore文件

keytool 
-genkey 
-alias tomcat(别名) 
-keypass 123456(别名密码) 
-keyalg RSA(算法) 
-keysize 1024(密钥长度) 
-validity 365(有效期，天单位) 
-keystore tomcat.keystore(指定生成证书的位置和证书名称 相对路径,默认值为~/.keystore) 
-storepass 123456(获取keystore信息的密码)

keytool -genkey -alias tomcat -keypass 123456 -keyalg RSA -keysize 1024 -validity 365 -keystore tomcat.keystore -storepass 123456

第二步：为客户端生成证书
为浏览器生成证书，以便让服务器来验证它。

为了能将证书顺利导入至IE和Firefox，证书格式应该是PKCS12

因此，使用如下命令生成：

keytool 
-genkey 
-alias client 
-keypass 123456
-keyalg RSA 
-storetype PKCS12 
-keypass 123456 
-storepass 123456 
-keystore client.p12

keytool -genkey -alias client -keypass 123456 -keyalg RSA -keysize 1024 -validity 365 -storetype PKCS12 -keystore client.p12 -storepass 123456

第三步：让服务器信任客户端证书
1、由于不能直接将PKCS12格式的证书库导入，必须先把客户端证书导出为一个单独的CER文件，使用如下命令：

keytool -export -alias client -keystore ~/client.p12 -storetype PKCS12 -keypass 123456 -file client.cer

注意：

Keypass：指定CER文件的密码，但会被忽略，而要求重新输入

2、将该文件导入到服务器的证书库，添加为一个信任证书：

keytool -import -v -file client.cer -keystore tomcat.keystore -storepass 123456

完成之后通过list命令查看服务器的证书库，可以看到两个证书，一个是服务器证书，一个是受信任的客户端证书：

keytool -list -v -keystore tomcat.keystore

第四步：让客户端信任服务器证书

由于是双向SSL认证，客户端也要验证服务器证书，因此，必须把服务器证书添加到浏览器的“受信任的根证书颁发机构”。由于不能直接将keystore格式的证书库导入，必须先把服务器证书导出为一个单独的CER文件，使用如下命令：

keytool -keystore tomcat.keystore -export -alias tomcat -file server.cer

2、

双击server.cer文件，按照提示安装证书，将证书填入到“受信任的根证书颁发机构”。

填入方法：
打开浏览器 - 工具 - internet选项-内容- 证书-把中级证书颁发机构里的www.localhost.com(该名称即时你前面生成证书时填写的名字与姓氏)证书导出来-再把导出来的证书导入 受信任的根颁发机构 就OK了。

---

第二种方式,使用浏览器导入client.p12的客户端证书,这样才可以正常打开使用了clientAuth的属性的web项目.

---

第五步：配置Tomcat服务器
tomcat配置文件conf/server.xml

<Connector  port="8443"
protocol="org.apache.coyote.http11.Http11NioProtocol" SSLEnabled="true"
maxThreads="150"
scheme="https"
secure="true"
clientAuth="true"
sslProtocol="TLS"
keystoreFile="D:/keys/tomcat.keystore"
keystorePass="123456"
truststoreFile="D:/keys/tomcat.keystore"
truststorePass="123456" />

属性说明：

clientAuth:设置是否双向验证，默认为false，设置为true代表双向验证
keystoreFile:服务器证书文件路径
keystorePass:服务器证书密码
truststoreFile:用来验证客户端证书的根证书，此例中就是服务器证书
truststorePass:根证书密码

注意：
① 设置clientAuth属性为True时，需要手动导入客户端证书才能访问。
② 要访问https请求 需要访问8443端口，访问http请求则访问Tomcat默认端口（你自己设置的端口，默认8080）即可,如果单启动https服务的话,可以注销掉8080的http的连接器Connector.