SSL簡介
SSL, 或者Secure Socket Layer，是一種允許web瀏覽器和web服務(wù)器通過一個安全的連接進行交流的技術(shù)。這意味著將被發(fā)送的數(shù)據(jù)在一端被翻譯成密碼，傳送出去，然后在另一 端解開密碼，再進行處理。這是一個雙向的過程，也就是瀏覽器和服務(wù)器都需要在發(fā)送數(shù)據(jù)之前對它們進行加密。
SSL協(xié)定的另一個重要方面是認證(Authentication)。這就是說，在你開始試圖通過一個安全連接與一個web服務(wù)器交流的時候，這個服務(wù)器會要求你的瀏覽器出示一組證件，通過“鑒定”的方式來證明這就是你所聲明的網(wǎng)站。
在某些情況下，服務(wù)器還會要求你的web瀏覽器的認證書，證明你就是你所說的那個人。這就是所知的“客戶認證”，盡管實際情況中，更多地用在商務(wù)-對-商務(wù)(B2B)交易，而不是對個人用戶。
但大多數(shù)有SSL功能的web服務(wù)器不要求客戶認證(Client Authentication)。
證書
為 了能實施SSL，一個web服務(wù)器對每個接受安全連接的外部接口(IP 地址)必須要有相應(yīng)的證書(Certificate)。關(guān)于這個設(shè)計的理論是一個服務(wù)器必須提供某種合理的保證以證明這個服務(wù)器的主人就是你所認為的那個 人。這個證書要陳述與這個網(wǎng)站相關(guān)聯(lián)的公司，以及這個網(wǎng)站的所有者或系統(tǒng)管理員的一些基本聯(lián)系信息。
這個證書由所有人以密碼方式簽字，其他人非常 難偽造。對于進行電子商務(wù)(e-commerce)的網(wǎng)站，或其他身份認證至關(guān)重要的任何商業(yè)交易，認證書要向大家所熟知的認證權(quán)威 (Certificate Authority (CA))如VeriSign或Thawte來購買。這樣的證書可用電子技術(shù)證明屬實。實際上，認證權(quán)威單位會擔保它發(fā)出的認證書的真實性，如果你信任發(fā) 出認證書的認證權(quán)威單位的話，你就可以相信這個認證書是有效的。
在許多情況下，認證并不是真正使人擔憂的事。系統(tǒng)管理員或許只想要保證被服務(wù)器傳 送和接收的數(shù)據(jù)是秘密的，不會被連接線上的偷竊者盜竊到。慶幸的是，Java提供相對簡單的被稱為keytool的命令行工具，可以簡單地產(chǎn)生“自己簽 名”的證書。自己簽名的證書只是用戶產(chǎn)生的證書，沒有正式在大家所熟知的認證權(quán)威那里注冊過，因此不能確保它的真實性。但卻能保證數(shù)據(jù)傳輸?shù)陌踩浴?br />認證也許很重要，也許不重要，完全決定于網(wǎng)站的需要。
用Tomcat來配置SSL主要有下面這么兩大步驟：
一、生成證書
1、 在命令行下執(zhí)行：
%Java_home%\bin\keytool -genkey -alias tomcat -keyalg RSA
在此命令中，keytool是JDK自帶的產(chǎn)生證書的工具。把RSA運算法則作為主要安全運算法則，這保證了與其它服務(wù)器和組件的兼容性。
這 個命令會在用戶的home directory產(chǎn)生一個叫做" .keystore " 的新文件。在執(zhí)行后，你首先被要求出示keystore密碼。Tomcat使用的默認密碼是" changeit "(全都是小寫字母)，如果你愿意，你可以指定你自己的密碼。你還需要在server.xml配置文件里指定自己的密碼，這在以后會有描述。
2、 你會被要求出示關(guān)于這個認證書的一般性信息，如公司，聯(lián)系人名稱，等等。這些信息會顯示給那些試圖訪問你程序里安全網(wǎng)頁的用戶，以確保這里提供的信息與他們期望的相對應(yīng)。
3、 你會被要求出示密鑰(key)密碼，也就是這個認證書所特有的密碼(與其它的儲存在同一個keystore文件里的認證書不同)。你必須在這里使用與keystore密碼相同的密碼。(目前，keytool會提示你按ENTER鍵會自動幫你做這些)。
如果一切順利，你現(xiàn)在就擁有了一個可以被你的服務(wù)器使用的有認證書的keystore文件。
二、配置tomcat
第 二個大步驟是把secure socket配置在$CATALINA_HOME/conf/server.xml文件里。$CATALINA_HOME代表安裝Tomcat的目錄。一 個例子是SSL連接器的<Connector>元素被包括在和Tomcat一起安裝的缺省server.xml文件里。它看起來象是這樣：
$CATALINA_HOME/conf/server.xml
<-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 -->
<!--
<Connector
port="8443" minProcessors="5" maxProcessors="75"
enableLookups="true" disableUploadTimeout="true"
acceptCount="100" debug="0" scheme="https" secure="true";
clientAuth="false" sslProtocol="TLS"/>
-->
Connector 元素本身，其默認形式是被注釋掉的(commented out)，所以需要把它周圍的注釋標志刪除掉。然后，可以根據(jù)需要客戶化(自己設(shè)置)特定的屬性。一般需要增加一下keystoreFile和 keystorePass兩個屬性，指定你存放證書的路徑（如：keystoreFile="C:/.keystore"）和剛才設(shè)置的密碼 （如：keystorePass="123456"）。關(guān)于其它各種選項的詳細信息，可查閱Server Configuration Reference。
在完成這些配置更改后，必須象重新啟動Tomcat，然后你就可以通過SSL訪問Tomcat支持的任何web應(yīng)用程序。只不過指令需要像下面這樣：
https://localhost:8443