如何在Tomcat中为特定上下文路径配置TLS而非端口？

由于SSL握手发生在HTTP请求路径传递之前，Tomcat本身不支持直接根据上下文路径选择TLS证书。以下是两种可行的实现方式：

方案1：Nginx反向代理+SNI域名区分 #

通过Nginx作为前端代理，利用SNI（服务器名称指示）根据域名选择对应证书，再转发到Tomcat的不同上下文路径：

Nginx配置示例 #

# 网关服务配置
server {
    listen 443 ssl;
    server_name gateway.yourdomain.com;
    # 网关专属证书
    ssl_certificate /etc/nginx/certs/gateway_cert.pem;
    ssl_certificate_key /etc/nginx/certs/gateway_key.pem;

    location /gateway {
        proxy_pass http://localhost:8080/gateway;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
    }
}

# Angular应用配置
server {
    listen 443 ssl;
    server_name angular.yourdomain.com;
    # Angular专属证书
    ssl_certificate /etc/nginx/certs/angular_cert.pem;
    ssl_certificate_key /etc/nginx/certs/angular_key.pem;

    location /angular {
        proxy_pass http://localhost:8080/angular;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
    }
}

此方案中Tomcat只需监听HTTP端口，SSL终止由Nginx完成，对外统一暴露443端口，用户通过不同子域名访问对应服务并使用各自证书。

方案2：Tomcat虚拟主机+SNI配置 #

直接在Tomcat中配置多虚拟主机，结合SNI根据域名匹配对应证书和上下文路径：

Tomcat server.xml配置示例 #

<!-- 支持SNI的HTTPS连接器 -->
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <!-- 网关域名对应的SSL配置 -->
    <SSLHostConfig hostName="gateway.yourdomain.com">
        <Certificate certificateKeystoreFile="/tomcat/certs/gateway_keystore.jks"
                     certificateKeystorePassword="your-password"
                     type="RSA" />
    </SSLHostConfig>
    <!-- Angular域名对应的SSL配置 -->
    <SSLHostConfig hostName="angular.yourdomain.com">
        <Certificate certificateKeystoreFile="/tomcat/certs/angular_keystore.jks"
                     certificateKeystorePassword="your-password"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

<!-- 虚拟主机配置 -->
<Engine name="Catalina" defaultHost="gateway.yourdomain.com">
    <!-- 网关服务虚拟主机 -->
    <Host name="gateway.yourdomain.com" appBase="webapps"
          unpackWARs="true" autoDeploy="true">
        <Context path="/gateway" docBase="/path/to/gateway-service.war" reloadable="true" />
    </Host>
    <!-- Angular应用虚拟主机 -->
    <Host name="angular.yourdomain.com" appBase="webapps"
          unpackWARs="true" autoDeploy="true">
        <Context path="/angular" docBase="/path/to/angular-dist-folder" reloadable="true" />
    </Host>
</Engine>

访问https://gateway.yourdomain.com/gateway时使用网关证书，访问https://angular.yourdomain.com/angular时使用Angular证书。

关键限制说明 #

• 无法在同一域名同一端口下仅通过上下文路径区分TLS证书，因为SSL握手阶段服务器还未收到请求路径信息，无法动态选择证书。
• 如果无法使用多域名，唯一替代方案是拆分端口，让网关和Angular分别使用独立HTTPS端口，各自配置证书。

内容的提问来源于stack exchange，提问作者Ayan