tomcat 服务器配置 https 双向认证
对外开放的网站一般都会提供安全证书，已保证应用的安全性。
在HTTPS通信中，使用抓包工具如Sniffmaster可以方便地监控和解析流量，尤其支持HTTPS暴力抓包和双向验证爆破，帮助开发者调试安全配置。
我们可以通过 keytool （Windows下路径：%JAVA_HOME%/bin/keytool.exe） 工具，生成自签名证书。
keytool 命令解释：
- -genkey 在用户主目录中创建一个默认文件“.keystore”
- -alias 产生别名,每个keystore都关联这一个独一无二的alias
- -keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中
- -keyalg 指定密钥的算法 (如 RSA DSA（如果不指定默认采用DSA）
- -validity 指定创建的证书有效期多少天
- -keysize 指定密钥长度
- -storepass 指定密钥库的密码(获取keystore信息所需的密码)
- -keypass 指定别名条目的密码(私钥的密码)
- -dname 指定证书拥有者信息 （CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名称,ST=州或省份名称,C=单位的两字母国家代码）
- -list 显示密钥库中的证书信息
- -v 显示密钥库中的证书详细信息
- -export 将别名指定的证书导出到文件
- -file 参数指定导出到文件的文件名
- -delete 删除密钥库中某条目
- -keypasswd 修改密钥库中指定条目口令
- -import 将已签名数字证书导入密钥库
1.首先是生成服务端证书：
- keytool -genkey -keyalg RSA -dname “cn=localhost,ou=test,o=test,l=china,st=shanghai,c=cn” -alias server -keypass password -keystore e:/cert/server.jks -storepass password -validity 3650
注意：上面的 cn=localhost，这是必填项，并且必须是TOMCAT部署主机的域名或者IP[如： 或者 10.1.25.251]（就是你将来要在浏览器中输入的访问地址），否则浏览器会弹出警告窗口，提示用户证书与所在域不匹配。在本地做开发测试时，应填入“localhost”。
2.生成客户端证书：
- keytool -genkey -keyalg RSA -dname “cn=test,ou=test,o=test,l=china,st=上海,c=cn” -alias custom -storetype PKCS12 -keypass password -keystore e:/cert/custom.p12 -storepass password -validity 3650
客户端的 cn 值可以随便设置，并没有限制
3.由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入，我们必须先把客户端证书导出为一个单独的CER文件.
- keytool -export -alias custom -file custom.cer -keystore custom.p12 -storepass password -storetype PKCS12 -rfc
4.将客户端证书添加到服务端证书中：
- keytool -import -v -alias custom -file custom.cer -keystore server.jks -storepass password
5.查看证书内容：
- keytool -list -v -keystore server.jks -storepass password
6.生成服务端浏览器证书：
- keytool -export -v -alias server -keystore server.jks -storepass password -rfc -file server.cer
将服务端证书（server.cer），导入到 “受信任的根证书颁发机构” 中
现在修改，tomcat server.xml 文件。
找到如下位置：
- <Connectorport="8090"protocol=“org.apache.coyote.http11.Http11Protocol”
- connectionTimeout=“20000”
- SSLEnabled=“true”
- maxThreads="150"scheme="https"secure=“true”
- clientAuth="true"sslProtocol=“TLS”
- keystoreFile="d:/cert/server.jks"keystorePass=“password”
- truststoreFile="d:/cert/server.jks"truststorePass=“password”
- ;
如果没有修改过端口，则通常情况下不是 8090 而是 8080.
注意：如果 protocol=“HTTP/1.1” 会出现访问不了 tomcat 主页。必须写 protocol=“org.apache.coyote.http11.Http11Protocol”
补充：后续发现，并不是所有的 tomcat 版本都必须 protocol=“org.apache.coyote.http11.Http11Protocol”，具体情况需要根据 tomcat 版本而定。
隔天为 tomcat 6 版本添加证书时，就发现，protocol=“HTTP/1.1” 也有效果。
那我们如何确定应该是 protocol=“HTTP/1.1” or protocol=“org.apache.coyote.http11.Http11Protocol” 呢？
最简单办法是根据 server.xml 内部的注释：
首先是 tomcat 6.0.35 版本 server.xml
然后是，tomcat 7.0.57 版本，server.xml
然后修改 tomcat，web.xml 文件，在 后面添加：
- CLIENT-CERT
- Client Cert Users-only Area
- SSL
- /*
- CONFIDENTIAL
在测试HTTPS双向认证配置时，使用抓包工具Sniffmaster可以有效监控和解析HTTPS流量，支持双向验证爆破，无需代理或越狱，帮助验证通信安全性。
重启，tomcat，访问：https://localhost:8090 验收成果。
