HTTPS 是我們開發中經常用到的通訊加密技術，能有效保護我們網路訪問中的安全，本文主要講解單向 和 雙向 https 的配置。關於https 的實現原理在這裡我就不贅述了，附上阮一峰老師的關於https介紹幾篇部落格，有興趣的童鞋可以看一看：   

本文目錄：

1、單向https配置

2、雙向https配置

3、常見名詞說明(轉載)

1.單向https 配置 

• 生成https證書命令：

  sudo keytool -genkey -keyalg RSA -dname "cn=localhost,ou=none,o=none,l=shanghai,st=shanghai,c=cn
   
  " -alias server -keypass 123456 -keystore server.keystore -storepass 123456 -validity 3650                                        

• 生成CSR檔案 

  本文只是生成自簽名的https證書，如果需要申請CA證書，就需要生成CSR檔案，並將此檔案提交給相應CA機構申請CA證書。
  

  sudo keytool -certReq -alias server -keystore server.keystore -file ca.csr -storepass 123456

• 生成CER檔案
  

  因為我們生成的證書使用keytool生成的，沒有經過作業系統可信任的CA機構頒發，所以當用瀏覽器訪問時，會出現不信任證書警告，我們手工將cer檔案（服務端公鑰）匯入瀏覽器的證書列表，讓其信任。
  

  sudo keytool -export -alias server -keystore server.keystore -file ca.cer -storepass 123456

• 在Tomcat中配置Https證書

　　　在serve.xml 中新增如下配置，即可訪問https的站點了。

<Connector SSLEnabled="true" clientAuth="false"
 

            keystoreFile="/Users/beiyan/Documents/test/server.keystore"
            keystorePass="123456" maxThreads="150" port="8443"
            protocol="org.apache.coyote.http11.Http11NioProtocol" scheme="https"
            secure="true" sslProtocol="TLS" />

　　　其中keystoreFile 為證書的地址，keystorePass 為證書的密碼。

        訪問介面如下:

• 匯入CER檔案，讓瀏覽器信任此證書

  雙擊 ca.cer 即可匯入，再設定為 始終信任 ，再次訪問
  

• 應用程式訪問

  如果使用HttpClient 等工具訪問該Https連線時,需要講ca.cer 匯入jre中；
  命令如下：keytool -import -alias tomcatsso -file "ca.cer" -keystore "/Library/Java/JavaVirtualMachines/jdk1.8.0_111.jdk/Contents/Home/jre/lib/security/cacerts" -storepass 123456
  其中 /Library/Java/JavaVirtualMachines/jdk1.8.0_111.jdk/Contents/Home/jre 是jre目錄 123456 是jre預設的密碼
  

  2.雙向https配置

• 生成Server端證書：

  sudo keytool -genkey -keyalg RSA -dname "cn=localhost,ou=none,o=none,l=shanghai,st=shanghai,c=cn" -alias server -keypass 123456 -keystore server.keystore -storepass 123456 -validity 3650

• 生成客戶端證書:

  這裡的客戶端為瀏覽器，瀏覽器支援的證書格式為PKCS12，這裡生成PKCS12格式的證書:
  

  sudo keytool -genkey -v -alias client -keyalg RSA -storetype PKCS12 -dname "cn=localhost,ou=none,o=none,l=shanghai,st=shanghai,c=cn"  -keypass 123456 -storepass 123456 -keystore client.p12 -validity 3650

• 讓服務端信任客戶端的證書

  由於是雙向認證，服務端必須驗證客戶端的身份，所以需要將客戶端的公鑰匯入到服務端的信任列表，但是這裡生成的PKCS12檔案不能直接匯入，所以先匯出成CER檔案，再將CER檔案匯入服務端的證書庫。
  1、將客戶端證書匯出為一個單獨的CER檔案
  

  sudo keytool -export -alias client -keystore client.p12 -storetype PKCS12 -storepass 123456 -rfc -file client.cer

  
  2、將CER檔案匯入服務端的證書庫
  

  sudo keytool -import -v -file client.cer -keystore server.keystore

  
  3、檢視server.keystore 裡面的證書列表:
  

  sudo keytool -list -keystore server.keystore

  
  

  上圖可以看到，證書庫中包含兩個證書，一個是服務端的私鑰，一個是客戶端的可信任公鑰

• 讓客戶端信任服務端證書

  客戶端也需要驗證服務端的證書是否可靠，所以也需要將服務端證書的公鑰匯入客戶端的信任列表。通用的做法是將伺服器證書匯出為一個單獨的CER檔案，然後雙擊安裝到瀏覽器的證書列表即可。
  

  sudo keytool -keystore server.keystore -export -alias server -file server.cer -validity 36500

• 所有生成的證書列表如下:

  
  

  client.cer：客戶端證書的公鑰
  client.p12：客戶端證書的私鑰
  server.cer：服務端證書的公鑰
  server.keystore：服務端證書庫，既包含服務端私鑰，又包含客戶端公鑰

• 修改Tomcat 配置：

       在serve.xml 中新增如下配置

• <Connector SSLEnabled="true" clientAuth="true"
              keystoreFile="/Users/beiyan/Documents/test/keytool/server.keystore"
              truststoreFile="/Users/beiyan/Documents/test/keytool/server.keystore"
              truststorePass="123456" keystorePass="123456" maxThreads="150" port="8443"
              protocol="org.apache.coyote.http11.Http11NioProtocol" scheme="https"
              secure="true" sslProtocol="TLS" />

  clientAuth="true"表示雙向認證

• 客戶端安裝私鑰

  雙擊client.p12即可安裝
  
  

  備註（這裡是mac下面的設定方式，window 與此類似，雙擊進入安裝介面） 

• 客戶端安裝服務端的公鑰

  雙擊server.cer檔案，設定同上
  
  

• 成功訪問：

       彈出客戶端證書選擇介面,選擇客戶端證書，即可正常訪問
       
                                              選擇證書介面


          

                                        
3、jks,keystore,trustore,cer,pfx等名詞說明zhuan(轉自網路)

備註:此處轉自網路，網路地點太多不確定源地址

金鑰:
公鑰+私鑰的統稱。

金鑰對：
公鑰(證書)和私鑰成對存在。通訊雙方各持有自己的私鑰和對方的公鑰。自己的私鑰需密切保護，而公鑰是公開給對方的。在windows下，單獨存在的公鑰一般是字尾為.cer的檔案

A用自己的私鑰對資料加密，發給B，B用A提供的公鑰解密。同理B用自己的私鑰對資料加密，傳送給A後，A用B的公鑰解開。

公鑰的兩個用途：
1。驗證對方身份：防止其他人假冒對方傳送資料給你。
2。解密。
私鑰的兩個用途：
1。表明自己身份：除非第三方有你私鑰，否則無法假冒你傳送資料資料給對方。
2。加密。

jks(Java key store)：
Java用的儲存金鑰的容器。可以同時容納n個公鑰或私鑰，字尾一般是.jks或者.keystore或.truststore等，千奇百怪。不管什麼字尾，它就是一個容器，各個公司或機構叫法不同而已。比如把只包含"受信任的公鑰"的容器存成.truststore檔案等。
用jdk\bin目錄下的keytool.exe對其進行檢視，匯入，匯出，刪除，修改密碼等各種操作。可以對jks容器加密碼，輸入正確才可以操作此容器中金鑰。還有一個密碼的概念與上者不同，是jks中儲存著的私鑰的密碼，通常是絕密的。

pfx：
和jks功能相同但檔案格式不同，pfx是瀏覽器用的。
可以用一些工具程式把pfx轉化成jks格式供java程式使用(如銀行只提供了pfx，但是我們想用httpclient模擬瀏覽器自動訪問時)。據說IE匯出的pfx格式不標準，轉化jks時往往報錯，可以嘗試用Netscape Navigator匯入再匯出，然後再轉化。碰到過這樣的情況。

常見的幾種https系統的訪問。經https協議的資料經過加密傳輸，防止第三方監聽，冒充和篡改。
1.不需要使用者做任何操作，比如https://www.verisign.com/
這是因為此公鑰是合法的(公鑰是可信任的機構頒發，和實際域名吻合，而且沒有到期)。用IE訪問時空白處點右鍵可以檢視公鑰資訊。
2.https的頁面會彈出公鑰確認提示
公鑰不合法(不是可信任的機構頒發，和實際域名不吻合，已到期)，但使用者點“是”即表示忽略危險，繼續訪問。
3.需要往瀏覽器倒入一個檔案才可訪問的
一般是銀行線上交易等特別需要安全的場合，站方(銀行)需要驗證訪客身份(如要確認必須是已註冊的網銀商戶)，需要在瀏覽器中匯入含有訪客私鑰的pfx檔案。

生成jks：
在銀行沒有提供jks檔案的情況下對帳，需要自己生成jks
對於1，2類https網站，如果java程式訪問此地址時在jre預設的信任庫中找不到對方證書的頒發機構，則會丟擲安全方面的異常。所以要將站方公鑰存進一個jks，並在環境變數中設定，表明信任此庫中的公鑰，才可以正常訪問。
我是用現成的make_jks的工具類在程式中讀取https://xxxx地址，程式自動抓取出銀行公鑰並存進一個jks檔案。
在瀏覽器中檢視站方公鑰時，把公鑰匯出(一般是cer字尾)，然後用keytool.exe手工將此cer匯入一個jks或許也可以?沒試過。
以上1，2類https網站，僅僅是用到了公鑰的“驗證對方身份”功能。對於第3種https網站，也可以找到現成的程式把pfx直接轉成jks。既然動用了pfx，一般是把公鑰的兩個用途和私鑰的兩個用途都用起來