windows下：

1.獲取證書和配置tomcat

java-jdk提供一個簡單的製作證書的工具，你可以用它來產生一個證書做測試用：

1.先來到你的jdk/bin下

2.執行

keytool -genkey -alias tomcat -keyalg RSA -keystore F:\tomcat.keystore -validity 36500 

其中F:\tomcat.keystore表示儲存到你的F盤下檔名為tomcat.keystore，365表示1年，36500表示100年
如下：
A、輸入keystore密碼：此處需要輸入大於6個字元的字串 


B、“您的名字與姓氏是什麼？”這是必填項，並且必須是TOMCAT部署主機的域名或者IP[如：gbcom.com 或者 10.1.25.251]，就是你將來要在瀏覽器中輸入的訪問地址 


C、“你的組織單位名稱是什麼？”、“您的組織名稱是什麼？”、“您所在城市或區域名稱是什麼？”、“您所在的州或者省份名稱是什麼？”、“該單位的兩字母國家程式碼是什麼？”可以按照需要填寫也可以不填寫直接回車，在系統詢問“正確嗎？”時，對照輸入資訊，如果符合要求則使用鍵盤輸入字母“y”，否則輸入“n”重新填寫上面的資訊 


D、輸入<tomcat>的主密碼，這項較為重要，會在tomcat配置檔案中使用，建議輸入與keystore的密碼一致，設定其它密碼也可以 
3.完成後在對應的地址產生證書檔案
4.配置你的Tomcat
找到你的tomcat/conf/server.xml，開啟修改如下：
1.埠：

<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443"/> 
 

修改如下：

<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443"/> 

注意埠按照你的實際情況修改。
2.查詢原有connector註釋項，去掉註釋：

<span style="white-space:pre">			</span><Connector port="443" 
				protocol="HTTP/1.1" 
				SSLEnabled="true" 
				maxThreads="150" 
				scheme="https" 
				secure="true"  
				clientAuth="false" 
				sslProtocol="TLS" 
				ciphers="TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
					TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
					TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,
					TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,
					TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,
					TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
					TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,
					TLS_ECDHE_ECDSA_WITH_RC4_128_SHA,
					TLS_ECDHE_RSA_WITH_RC4_128_SHA,
					TLS_DHE_RSA_WITH_AES_128_CBC_SHA,
					TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
					TLS_DHE_RSA_WITH_AES_256_CBC_SHA,
					TLS_RSA_WITH_AES_128_GCM_SHA256,
					TLS_RSA_WITH_AES_128_CBC_SHA,
					TLS_RSA_WITH_AES_256_CBC_SHA,
					TLS_RSA_WITH_3DES_EDE_CBC_SHA,
					TLS_RSA_WITH_RC4_128_SHA,
					TLS_RSA_WITH_RC4_128_MD5"
				keystoreFile="/etc/tomcat.keystore" 
				keystorePass="www.gbcom.com.cn"/> 
 

keystoreFile是你的證書檔案地址
keystorePass是你生成證書時設定的密碼


這裡看一下，java1.6和之前的版本只支援TLSv1，所以就不要配置什麼sslEnabledProtocols=“...”了，配了只會出錯。
java1.7開始支援TLS1.2了但是需要修改配置，你才能正常開啟TLS1.2，這裡tomcat好像必須是tomcat7了，具體我沒有測試
如下：
第一步：

<span style="white-space:pre">			</span><Connector port="443" 
				protocol="org.apache.coyote.http11.Http11Protocol"
				maxThreads="150" 
				SSLEnabled="true" 
				scheme="https" 
				secure="true"
				keystoreFile="ssl/.keystore" 
				keystorePass="changeit"
				clientAuth="false" 
				sslProtocol="SSL" 
				ciphers="TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
					TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
					TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,
					TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,
					TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,
					TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
					TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,
					TLS_ECDHE_ECDSA_WITH_RC4_128_SHA,
					TLS_ECDHE_RSA_WITH_RC4_128_SHA,
					TLS_DHE_RSA_WITH_AES_128_CBC_SHA,
					TLS_DHE_DSS_WITH_AES_128_CBC_SHA,
					TLS_DHE_RSA_WITH_AES_256_CBC_SHA,
					TLS_RSA_WITH_AES_128_GCM_SHA256,
					TLS_RSA_WITH_AES_128_CBC_SHA,
					TLS_RSA_WITH_AES_256_CBC_SHA,
					TLS_RSA_WITH_3DES_EDE_CBC_SHA,
					TLS_RSA_WITH_RC4_128_SHA,
					TLS_RSA_WITH_RC4_128_MD5"
				sslEnabledProtocols="TLSv1.2" />
 

 
第二步：
修改tomcat/bin下的classpath.bat新增：

<span style="white-space:pre">			</span>set JAVA_HOME=C:\Java64\jdk1.8.0_60
			set PATH=%PATH%;C:\Java64\jdk1.8.0_60\bin
			set CATALINA_HOME=C:\apache-tomcat-7.0.64-64bit
			set JAVA_OPTS=-Djdk.tls.client.protocols="TLSv1.2" -Dsun.security.ssl.allowUnsafeRenegotiation=false -Dhttps.protocols="TLSv1.2"

主要是最後一句要加。
3.修改APR：
找到對應的註釋，去掉註釋，修改為：

<span style="white-space:pre">	</span><Connector port="8009" enableLookups="false" protocol="AJP/1.3" redirectPort="443" /> 

5.最後一步，強制訪問為https。
修改你的專案下的web.xml
新增：

	<web-app>
	<span style="white-space:pre">	</span>......
		<security-constraint>
			<web-resource-collection >
				<web-resource-name >SSL</web-resource-name>
				<url-pattern>/*</url-pattern>
			</web-resource-collection> 
			<user-data-constraint>
				<transport-guarantee>CONFIDENTIAL</transport-guarantee>  
			</user-data-constraint>  
		</security-constraint>
	</web-app>

6.為客戶端生成證書
下一步是為瀏覽器生成證書，以便讓伺服器來驗證它。為了能將證書順利匯入至IE和Firefox，證書格式應該是PKCS12，因此，使用如下命令生成：
keytool -genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystore c:\my.p12
對應的證書庫存放在“C:\my.p12”，客戶端的CN可以是任意值。稍候，我們將把這個“my.p12”證書庫匯入到IE和Firefox中。

讓伺服器信任客戶端證書
由於是雙向SSL認證，伺服器必須要信任客戶端證書，因此，必須把客戶端證書新增為伺服器的信任認證。由於不能直接將PKCS12格式的證書庫匯入，我們必須先把客戶端證書匯出為一個單獨的CER檔案，使用如下命令：
keytool -export -alias mykey -keystore my.p12 -store PKCS12 -storepass password -rfc -file c:\my.cer
通過以上命令，客戶端證書就被我們匯出到“C:\my.cer”檔案了。下一步，是將該檔案匯入到伺服器的證書庫，新增為一個信任證書：


keytool -import -v -file my.cer -keystore tomcat.keystore


通過list命令檢視伺服器的證書庫，我們可以看到兩個輸入，一個是伺服器證書，一個是受信任的客戶端證書：


keytool -list -keystore tomcat.keystore
配置Tomcat伺服器
開啟Tomcat根目錄下的/conf/server.xml，找到如下配置段，修改如下：
<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
clientAuth="true" sslProtocol="TLS"
keystoreFile="C:/tomcat.keystore" keystorePass="password"
truststoreFile="C:/tomcat.keystore" truststorePass="password"
/>
匯入客戶端證書
如果設定了clientAuth="true"，則需要強制驗證客戶端證書。雙擊“C:\my.p12”即可將證書匯入至IE：

p12 證書直接雙擊然後按提示下一步就可匯入。

除錯階段問題彙總：

1.tomcat配置ssl後啟動成功點選tomcat下logs資料夾中的catalina.yyyy-MM-dd.log檔案提示如下錯誤
java.lang.Exception: Connector attribute SSLCertificateFile must be defined when using SSL with APR
Tomcat提供了兩個SSL實現，一個是JSSE實現，另一個是APR實現。Tomcat將自動選擇使用哪個實現，即如果安裝了APR則自動選擇APR，否則選擇JSSE。如果不希望讓Tomcat自動選擇，而是我們自己指定一個實現則可通過protocol定義
1.檢視bin資料夾下是否從在tcnative-1.dll，如果沒有則只支援JSSE實現，
2.如果報錯可以修改server.xml
<       
Connector port="8443" 
protocol="org.apache.coyote.http11.Http11Protocol" 
SSLEnabled="true" 
maxThreads="150" 
scheme="https" 
secure="true"  
clientAuth="false" 
sslProtocol="TLS" 
keystoreFile="${user.home}/.keystore"    
keystorePass="pass"
/>

2.對稱與非對稱加密;SSL;HTTPS;AJP
1.對稱加密就是加密與解密的時候都是用一個密碼


2.非對稱加密，有一對密碼A,B；用A加密就得用B解密，相對的用B加密就得用A解密


3.公鑰與私鑰，這一對密碼，隨便拿一個公佈出去，那個就是公鑰，剩下一個是私鑰。


4.應用1：我想給一個人發信息，我就去拿他公佈出來的公鑰加密，加密後就只能用私鑰來解密，由於私鑰在他手中，就能很好在傳輸中保密。


5.應用2：我收到一個資訊，說是銀行發來的賬單，銀行為了不被別人冒牌貨發假資訊給客戶，事先給客戶說好，我給你發信息是我的私鑰加密了的，所以客戶到了資訊就要去拿公鑰來解密，如果能解開說明的確是銀行發的。


6.非對稱加密最常用的演算法是RSA演算法，基本理論是兩個大素數相乘容易，再要想把乘積分解開就很難。


7.SSL協議利用了公鑰和私鑰的原理，位於TCP/IP協議與各種應用層協議之間，有一些安全握手的過程，為資料通訊提供安全支援。


8.HTTPS就應用了SSL層，http層,tcp/ip層之間又加入了ssl層。預設埠是443


9.今天在配置tomcat的server.xml的時候看見了8009這個connector的配置，用的AJP協議。查了一些，大致是用來和其他http伺服器聯合使用的一個入口。有的伺服器靜態資源的響應要比tomcat效率好，比如apache。就可以訪問靜態資源的走apache。但他不支援j2ee,沒有jsp。如果使用者像apache發起一個jsp請求，就可以用tomcat提供的一個工具做一個關聯對映，由apache再向tomcat發請求來訪問jsp。走的就是8009這個埠。AJP用的長連線，使效能更高。

3.<Listener className="org.apache.catalina.startup.VersionLoggerListener" />
tomcat下server.xml列印引用和OS資訊

4.java1.6只支援TLSv1，所以，你的設定為SSLProtocol=“TLS”就好了，從1.7開始可以實用sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2" 所以你在配置tomcat/conf/server.xml可以配置這一項。