工具：keytool （Windows下路径：%JAVA_HOME%/bin/keytool.exe） 环境：Windows8.1企业版、Tomcat-7.0.27、JDK1.6、IE11、Chrome [b]一、为服务器生成证书[/b] “D:\tomcat.keystore”含义是将证书文件的保存路径，证书文件名称是tomcat.keystore(可自定义名称)； “-validity 36500”含义是证书有效期，36500表示100年，默认值是90天； [b]二、为客户端生成证书[/b] 1、生成客户端证书 生成的两个文件： [img]http://files.jb51.net/file_images/article/201705/2017051317264622.png[/img] 2、安装客户端证书 双击客户端证书“client.key.p12”完成导入证书过程如下： [img]http://files.jb51.net/file_images/article/201705/2017051317264623.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264624.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264625.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264626.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264627.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264628.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264629.png[/img] [b]三、让服务器信任客户端证书[/b] 1、将客户端证书导出为CER文件 由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。因不能直接将PKCS12格式的证书库导入服务器证书库，将客户端证书导出为一个单独的CER文件 keytool -export -alias mykey -keystore D:\client.key.p12 -storetype PKCS12 -storepass password -rfc -file D:\client.key.cer 注：password为客户端证书的密码 2、将CER文件导入到服务器的证书库 添加为一个信任证书使用命令如下： 3、检查安装结果 通过list命令查看服务器的证书库，可以看到两个证书，一个是服务器证书，一个是受信任的客户端证书： keytool -list -keystore D:\tomcat.keystore (tomcat为你设置服务器端的证书名)。 [b]四、让客户端信任服务器证书[/b] 1、把服务器证书导出为CER文件 由于是双向SSL认证，客户端也要验证服务器证书，因此，必须把服务器证书添加到浏览的“受信任的根证书颁发机构”。由于不能直接将keystore格式的证书库导入，必须先把服务器证书导出为一个单独的CER文件，使用如下命令： keytool -keystore D:\home\tomcat.keystore -export -alias tomcat -file D:\home\tomcat.cer (tomcat为你设置服务器端的证书名)。 2、在客户端安装服务器证书 双击“tomcat.cer”，按照提示安装证书，将证书填入到“受信任的根证书颁发机构”。 [img]http://files.jb51.net/file_images/article/201705/2017051317264630.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264731.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264732.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264733.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264734.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264735.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264736.png[/img] 3、检查安装结果 IE -> Internet选项 -> 内容 -> 证书 [img]http://files.jb51.net/file_images/article/201705/2017051317264737.png[/img] [b]五、配置Tomcat服务器[/b] 注意服务端证书名保持一致 属性说明： [list=1] [*]clientAuth:设置是否双向验证，默认为false，设置为true代表双向验证[/*] [*]keystoreFile:服务器证书文件路径[/*] [*]keystorePass:服务器证书密码[/*] [*]truststoreFile:用来验证客户端证书的根证书，此例中就是服务器证书[/*] [*]truststorePass:根证书密码[/*] [/list] [b]六、测试[/b] https://localhost:8443/ [img]http://files.jb51.net/file_images/article/201705/2017051317264738.png[/img] [img]http://files.jb51.net/file_images/article/201705/2017051317264739.png[/img]   服务器的证书与网址不相符问题需要理解浏览器做了什么： 1、浏览器将自己支持的一套加密规则发送给网站。 2、网站从中选出一组加密算法与HASH算法，并将自己的身份信息以证书的形式发回给浏览器。证书里面包含了网站地址，加密公钥，以及证书的颁发机构等信息。 3、获得网站证书之后浏览器要做以下工作：       a)  验证证书的合法性（颁发证书的机构是否合法，证书中包含的网站地址是否与正在访问的地址一致等），如果证书受信任，则浏览器栏里面会显示一个小锁头，否则会给出证书不受信的提示。       b)  如果证书受信任，或者是用户接受了不受信的证书，浏览器会生成一串随机数的密码，并用证书中提供的公钥加密。      c)  使用约定好的HASH计算握手消息，并使用生成的随机数对消息进行加密，最后将之前生成的所有信息发送给网站。 以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持编程素材网。