在Java Web应用部署中，Tomcat配置SSL证书是启用HTTPS加密的关键一步。无论是Spring Boot内嵌容器还是独立部署的Tomcat，正确完成Tomcat配置SSL证书，才能让浏览器地址栏显示安全锁，避免“连接不安全”的警告。本文以安信证书下载的Tomcat专用证书包为基础，分步骤讲解JKS格式证书的部署流程。
一、准备工作：获取Tomcat专用证书
在开始Tomcat配置SSL证书之前，需要先从证书服务商处获取正确的文件。通过安信证书平台申请SSL证书后，下载时选择“Tomcat”类型，解压后可获得两个核心文件：一个是.jks格式的证书文件（包含公钥证书和私钥），另一个是.txt格式的密码文件。这两个文件缺一不可，密码文件中的内容在后续修改配置文件时需要用到。
建议将.jks文件上传至Tomcat安装目录下的conf文件夹，或统一存放在/etc/ssl/cert等安全目录中。如果你对服务器操作不熟悉，安信证书针对在其平台购买的证书提供免费安装部署服务，可直接联系客服或提交工单，由技术人员协助完成Tomcat配置SSL证书的全过程，无需自己手动修改配置文件。这项服务还涵盖免费重签、加密协议升级等配套支持，对没有专职运维人员的团队尤为友好。
二、Tomcat配置SSL证书的步骤
Tomcat配置SSL证书的核心操作集中在conf/server.xml文件中。用文本编辑器打开该文件，找到被注释掉的HTTPS Connector配置段（通常以<!–开头），将其取消注释并修改为以下内容（以Tomcat 9及以上版本推荐写法为例）：
xml
＜Connector port=”443″protocol=”org.apache.coyote.http11.Http11NioProtocol”
maxThreads=”150″SSLEnabled=”true”＞
＜SSLHostConfig＞
＜Certificate certificateKeystoreFile=”conf/yourdomain.jks”
certificateKeystorePassword=”你的证书密码”
type=”RSA”/＞
＜/SSLHostConfig＞
＜/Connector＞
关键参数说明：port设为443（HTTPS默认端口）；certificateKeystoreFile指向.jks文件的实际路径，可使用相对conf目录的路径或绝对路径；certificateKeystorePassword填入密码文件.txt中的内容。保存文件后，Tomcat配置SSL证书的配置部分即告完成。若不想手动改写这段XML，也可以直接让安信证书的技术人员代为部署，免费安装SSL证书服务同样覆盖Tomcat环境。
需要注意的是，如果使用的是Tomcat 7或更早版本，配置写法有所不同，需使用keystoreFile和keystorePass属性，而非SSLHostConfig嵌套结构。建议先确认Tomcat版本再动手修改。
三、重启验证与常见问题排查
完成上述修改后，重启Tomcat服务使配置生效。在浏览器中访问https://你的域名，如果地址栏出现安全锁图标，说明Tomcat配置SSL证书成功。若访问失败，可从以下三个方向排查：
端口未开放。云服务器安全组需放行443端口，否则外部无法访问HTTPS服务。证书路径或密码错误。检查certificateKeystoreFile路径是否正确、密码是否与.txt文件一致，Tomcat启动日志（logs/catalina.out）会给出具体报错信息。证书链不完整。安信证书提供的Tomcat专用.jks包通常已包含完整证书链，但如果是从PEM格式手动转换而来，需确保中间证书已正确导入。若自行排查仍无法解决，可联系安信证书客服，免费安装服务的技术支持也覆盖部署后的故障排查环节。
此外，如果希望强制所有HTTP请求跳转至HTTPS，可在应用的web.xml中配置transport-guarantee为CONFIDENTIAL，实现自动跳转。
四、FAQ（常见问题）
Q1：Tomcat配置SSL证书时，JKS和PFX格式选哪个？
两者均可。JKS是Java环境传统格式，使用JDK自带工具管理，兼容性最广；PFX/PKCS12是通用格式，Tomcat 8.5及以上版本可直接使用。安信证书下载时选择Tomcat类型，默认提供JKS格式，直接使用即可，无需额外转换。
Q2：配置完成后浏览器仍提示“不安全”怎么办？
首先确认访问的是https://而非http://。其次检查证书是否已过期、域名是否与证书匹配。若使用自签名证书测试，浏览器警告属正常现象；生产环境必须使用权威CA签发的证书。最后查看Tomcat日志中是否有SSL握手错误，常见原因是密码错误或JKS文件损坏。如果排查困难，安信证书的免费安装服务可协助定位部署问题。
Q3：Tomcat配置SSL证书后，如何确认证书链是否完整？
可使用在线SSL检测工具输入域名进行扫描，查看“证书链”一栏是否完整。若显示“证书链不完整”，对于JKS格式，通常是因为导入时遗漏了中间证书。安信证书提供的Tomcat证书包一般已处理好证书链，直接部署即可避免此问题；需要时也可请其技术人员通过免费安装服务代为检查。
