Tomcat部署APEX+ORDS配置SSL后HTTPS访问应用报500错误排查

1. 未配置ORDS专属SSL适配参数 #

ORDS需要单独适配HTTPS环境，检查ords/conf/ords.properties，添加以下配置：

security.ssl.hostname-verification=false
security.ssl.certificates.trust-all=true
# 若使用自签名证书，需指定信任库路径，否则ORDS无法识别Tomcat的SSL证书
# javax.net.ssl.trustStore=/path/to/your/truststore.jks
# javax.net.ssl.trustStorePassword=你的信任库密码

同时确认plsql.gateway.addresses包含HTTPS端口的服务器地址，确保ORDS能正确处理HTTPS请求。

2. Tomcat SSL连接器缺失scheme和secure属性 #

server.xml中的SSL Connector必须明确设置scheme="https"和secure="true"，否则ORDS无法识别当前为HTTPS请求，直接触发内部错误：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="/path/to/keystore.jks"
                     type="RSA" />
    </SSLHostConfig>
    <!-- 以下两个属性必须添加 -->
    scheme="https"
    secure="true"
    URIEncoding="UTF-8"
</Connector>

3. HTTPS安全约束配置有误 #

检查全局conf/web.xml和应用WEB-INF/web.xml中的安全约束，确保<url-pattern>覆盖/abc/*及ORDS默认路径（如/ords/*），且<transport-guarantee>必须设为CONFIDENTIAL：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>HTTPS Only</web-resource-name>
        <url-pattern>/abc/*</url-pattern>
        <url-pattern>/ords/*</url-pattern> <!-- ORDS默认路径需添加 -->
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

注意：不要使用INTEGRAL，该值与HTTPS不匹配，必须用CONFIDENTIAL。

4. 未处理SSL证书信任问题 #

若使用自签名或内部CA签发的证书，Tomcat和ORDS可能无法信任该证书，需将证书导入JRE信任库（默认路径$JAVA_HOME/jre/lib/security/cacerts），执行命令：

keytool -importcert -alias tomcat-ssl -file /path/to/certificate.crt -keystore $JAVA_HOME/jre/lib/security/cacerts

也可在Tomcat的catalina.properties中指定自定义信任库：

javax.net.ssl.trustStore=/path/to/your/truststore.jks
javax.net.ssl.trustStorePassword=你的密码

5. ORDS与APEX路径映射错误 #

确认Tomcat中ORDS应用的上下文路径为/abc，同时检查ords.properties中的apex.path是否指向正确的APEX静态资源目录：

apex.path=/path/to/apex/images

静态资源路径错误会导致HTTPS请求加载资源时触发500错误。

6. 未通过日志定位具体错误原因 #

500错误的根因需查看日志：Tomcat的logs/catalina.out或localhost.log，以及ORDS的ords/logs/ords.log，日志会明确指出错误细节（如证书验证失败、路径不存在、权限不足等），这是最快定位问题的方式。

内容的提问来源于stack exchange，提问作者Syed