如何为Docker容器内的Vaadin模块配置HTTPS协议

核心问题分析 #

你之前的思路完全错了：cacerts是Java的信任证书库，用来验证外部HTTPS站点的合法性，根本不是让自己的服务对外提供HTTPS访问的配置项。直接替换整个security目录会破坏Java默认安全配置，反而导致SSL协议报错。要让Vaadin应用通过HTTPS访问，得给应用配置SSL证书，让运行Vaadin的服务器（不管是内置的Tomcat/Jetty，还是独立容器）加载证书并启用HTTPS端口。

正确实现步骤 #

1. 准备SSL证书 #

先搞定有效的SSL证书：

• 测试用的话，用keytool生成自签名证书：

  keytool -genkeypair -alias myapp -keyalg RSA -keysize 2048 -storetype PKCS12 -keystore keystore.p12 -validity 3650
  

  执行时设置的证书密码一定要记牢。
• 如果是正式环境，把CA颁发的证书和私钥打包成PKCS12格式的keystore文件。

2. 挂载证书到容器 #

别碰Java的security目录，把你的keystore文件挂载到容器内的自定义路径，比如/opt/app/certs/keystore.p12。修改docker-compose.yml的volumes部分：

volumes:
  - ${CONF_DIR}/backend/cert/keystore.p12:/opt/app/certs/keystore.p12

3. 配置Vaadin服务器启用HTTPS #

分两种常见场景配置：

场景1：Spring Boot + Vaadin

在application.properties（或application.yml）里加HTTPS配置：

server.port=443
server.ssl.enabled=true
server.ssl.key-store=/opt/app/certs/keystore.p12
server.ssl.key-store-password=你的证书密码
server.ssl.key-store-type=PKCS12
server.ssl.key-alias=myapp

把这个配置文件挂载到容器内的Spring Boot配置目录，或者直接打包到镜像里。

场景2：独立Servlet容器（比如Tomcat）

修改Tomcat的server.xml，添加HTTPS连接器：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="/opt/app/certs/keystore.p12"
                     type="RSA"
                     certificateKeystorePassword="你的证书密码"
                     certificateKeystoreType="PKCS12"/>
    </SSLHostConfig>
</Connector>

然后把修改后的server.xml挂载到容器内的Tomcat配置目录。

4. 调整Docker端口映射 #

在docker-compose.yml的ports部分，把容器的443端口映射到宿主机：

ports:
  - "443:443"

测试阶段也可以用其他端口，比如8443:443，访问时用https://xxxxx:8443。

5. 验证配置 #

重启容器后，访问https://你的域名/IP：

• 自签名证书会被浏览器标记为不安全，手动选择继续访问即可；
• CA颁发的证书应该直接显示安全连接。

常见问题排查 #

如果还是出现ERR_SSL_PROTOCOL_ERROR，按以下步骤检查：

• 进容器执行netstat -tulpn | grep 443，确认443端口是否正常监听；
• 查看应用日志，有没有证书加载失败的报错，检查证书路径、密码是否正确；
• 确认宿主机防火墙已经开放了对应的HTTPS端口。

内容的提问来源于stack exchange，提问作者gonzay