现在很多网站都用HTTPS协议提供服务，因为HTTPS协议安全性更高。HTTP和HTTPS的概念和区别：

概念：

1. 超文本传输协议（HTTP，HyperText Transfer Protocol)是互联网上应用最为广泛的一种网络协议。所有的WWW文件都必须遵守这个标准。设
   计HTTP最初的目的是为了提供一种发布和接收HTML页面的方法。

2. HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，
   简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。
   它是一个URI scheme（抽象标识符体系），句法类同http:体系。用于安全的HTTP数据传输。

   
   

区别如下：

HTTPS解决的问题：

1. 信任主机的问题。 采用https 的server 必须从CA 申请一个用于证明服务器用途类型的证书。
   改证书只有用于对应的server 的时候，客户度才信任次主机。所以目前所有的银行系统网站，关键部分应用都是https 的。
   客户通过信任该证书，从而信任了该主机。其实这样做效率很低，但是银行更侧重安全。
   这一点对我们没有任何意义，我们的server，采用的证书不管自己issue 还是从公众的地方issue，
   客户端都是自己人，所以我们也就肯定信任该server。

通讯过程中的数据的泄密和被窜改。

一般意义上的https， 就是 server 有一个证书。
    a) 主要目的是保证server 就是他声称的server。这个跟第一点一样。
    b) 服务端和客户端之间的所有通讯，都是加密的。
        i、具体讲，是客户端产生一个对称的密钥，通过server 的证书来交换密钥。 一般意义上的握手过程。
        ii、加下来所有的信息往来就都是加密的。 第三方即使截获，也没有任何意义。因为他没有密钥。 当然窜改也就没有什么意义了。
2)少许对客户端有要求的情况下，会要求客户端也必须有一个证书。
    a) 这里客户端证书，其实就类似表示个人信息的时候，除了用户名/密码， 还有一个CA 认证过的身份。
        应为个人证书一般来说上别人无法模拟的，所有这样能够更深的确认自己的身份。
    b) 目前少数个人银行的专业版是这种做法，具体证书可能是拿U盘作为一个备份的载体。
        像我用的交通银行的网上银行就是采取的这种方式。
        HTTPS 一定是繁琐的。
    a) 本来简单的http协议，一个get一个response。由于https 要还密钥和确认加密算法的需要。单握手就需要6/7 个往返。
        i、任何应用中，过多的round trip 肯定影响性能。
    b) 接下来才是具体的http协议，每一次响应或者请求， 都要求客户端和服务端对会话的内容做加密/解密。
        i、尽管对称加密/解密效率比较高，可是仍然要消耗过多的CPU，为此有专门的SSL 芯片。 如果CPU 信能比较低的话，肯定会降低性能，从而不能serve 更多的请求。

HTTPS比HTTP有这么多的优越性，怎么给tomcat7 tomcat8配置HTTPS呢，Java有没有自带工具管理安全证书呢，哪里有使用Java Keytool 为tomcat配置 HTTPS SSL 的教程呢

配置过程分为三步

1. 安装工具生成证书

2. 给windows安装证书

3. tomcat配置

   
   

   以下为详细过程

   
   

第一步，安装工具生成证书：

如果没有Keytool工具，请先安装jre/jdk（如何安装这里不做详细介绍）

生成自签名证书（可选，不想购买证书可以使用此项，浏览器不能信任）

keytool -genkey -keyalg RSA -alias mywebsite -keystore d:\mywebsite.jks  -dname "CN=mywebsite, OU=mywebsite, O=mywebsite, L=ZZ, ST=HN, C=CN" -keypass mywebsite -storepass mywebsite  -validity 360 -keysize 2048 -deststoretype pkcs12

根据Alias名字查询证书

keytool -list -v -keystore d:\mywebsite.jks -alias mywebsite

第二步 给windows安装证书

导出cer证书，用于windows安装

keytool -export -alias mywebsite  -keystore d:\mywebsite.jks  -srcstoretype PKCS12 -storepass mywebsite -rfc -file d:\mywebsite.cer

d:\mywebsite.cer 右键安装 本计算机


第三步、tomcat配置

domains.jks 文件上传到服务器 tomcat/config/文件夹

若是pfx证书则用以下命令转换为JKS：

keytool -importkeystore -srckeystore 你的证书名称.pfx -destkeystore domains.jks -srcstoretype PKCS12 -deststoretype JKS

domains.jks是生成的jks格式证书名称。

回车，会提示你输入三次密码，建议三次都是输入密码文本的密码，成功后会再文件夹下生成domains.jks文件


vim server.xml

修改成以下代码：（443为https默认访问端口）
开启HTTPS tomcat8

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
               maxThreads="150" SSLEnabled="true">
        <SSLHostConfig>
            
            <Certificate certificateKeystoreFile="conf/mywebsite.jks" certificateKeyPassword="mywebsite" certificateKeystorePassword="mywebsite"
                         type="RSA" />
        </SSLHostConfig>
    </Connector>

    
开启HTTPS tomcat8

    <Connector port="443" protocol="HTTP/1.1" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS"
                keystoreFile="conf/mywebsite.jks" keystorePass="mywebsite"
                />

                
将原来的HTTP Connector redirectPort改为443

  <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="443" />

               
将原来的AJP Connector redirectPort改为443

 <!-- Define an AJP 1.3 Connector on port 8009 -->
    <Connector port="8009" protocol="AJP/1.3" redirectPort="443" />

           
              
编辑web.xml
              
在该文件</welcome-file-list>标签（一般在文件最末尾）后面加上这样一段：

<login-config>  
    <!-- Authorization setting for SSL -->  
    <auth-method>CLIENT-CERT</auth-method>  
    <realm-name>Client Cert Users-only Area</realm-name>  
</login-config>  
<security-constraint>  
    <!-- Authorization setting for SSL -->  
    <web-resource-collection >  
        <web-resource-name >SSL</web-resource-name>  
        <url-pattern>/*</url-pattern>  
    </web-resource-collection>  
    <user-data-constraint>  
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>  
    </user-data-constraint>  
</security-constraint>

保存，退出，重启tomcat.

• 上一主题： windows和linux文件比较及生成MD5命令
• 下一主题： 免编程app到底能不能用