嵌入式Tomcat SNI问题：无法从Connector删除SSLHostConfig

问题场景 #

我在使用嵌入式Tomcat时，通过SSLHostConfig动态添加SNI证书无需重启即可生效，添加代码如下：

SSLHostConfig sslHostConfig = new SSLHostConfig();
sslHostConfig.setHostName(host);
sslHostConfig.setCertificateFile(path);
connector.addSslHostConfig(sslHostConfig);

同时也能通过connector.findSslHostConfigs()获取所有已配置的SSLHostConfig实例，但尝试直接修改返回的数组元素来更新或删除配置完全无效。另外发现NioEndpoint类提供了removeSslHostConfig方法，但endpoint是Connector或Protocol Handler的受保护字段，无法直接访问。

可行解决方案 #

直接通过ProtocolHandler获取Endpoint（推荐） #

Tomcat的AbstractProtocol（所有HTTP协议处理器的父类）提供了公开的getEndpoint()方法，可以直接获取到对应的Endpoint实例，无需反射：

import org.apache.coyote.ProtocolHandler;
import org.apache.tomcat.util.net.AbstractEndpoint;
import org.apache.tomcat.util.net.NioEndpoint;

// 获取Connector的协议处理器
ProtocolHandler protocolHandler = connector.getProtocolHandler();
// 获取Endpoint实例
AbstractEndpoint endpoint = protocolHandler.getEndpoint();

// 确认是NioEndpoint类型后调用删除方法
if (endpoint instanceof NioEndpoint) {
    SSLHostConfig targetConfig = ...; // 传入要删除的目标SSLHostConfig实例
    ((NioEndpoint) endpoint).removeSslHostConfig(targetConfig);
}

删除完成后，若需要更新配置，直接重新调用connector.addSslHostConfig()添加新的SSLHostConfig即可，Tomcat会自动加载新配置，无需重启。

反射方案（备用） #

如果因为Tomcat版本差异导致getEndpoint()方法不可用，可通过反射突破字段访问限制：

import org.apache.tomcat.util.net.NioEndpoint;
import java.lang.reflect.Field;

// 获取协议处理器
Object protocolHandler = connector.getProtocolHandler();
// 反射获取endpoint字段
Field endpointField = protocolHandler.getClass().getDeclaredField("endpoint");
endpointField.setAccessible(true);
NioEndpoint endpoint = (NioEndpoint) endpointField.get(protocolHandler);

// 执行删除操作
SSLHostConfig targetConfig = ...;
endpoint.removeSslHostConfig(targetConfig);

注意事项 #

• 删除SSLHostConfig后，对应的SNI证书会立即从Tomcat的SSL引擎中移除，新的请求将不再使用该证书。
• 更新配置时，建议先删除旧的SSLHostConfig实例，再添加新的，避免配置冲突。

内容的提问来源于stack exchange，提问作者Tech_Lover