Tomcat外出SSL连接：根证书是否可替代服务器证书及移除影响

问题1：若Server A的cacerts中存在签发Server B证书的CA根证书，是否无需安装Server B的证书？表述是否正确？ #

这个表述是正确的。Java的SSL信任逻辑基于根CA证书：当Server A的cacerts信任库中包含签发Server B服务器证书的CA根证书，且Server B返回的证书链能完整追溯到该根CA时，Tomcat托管的Java应用在和Server B建立SSL连接时，会自动完成证书合法性验证，完全不需要单独安装Server B的服务器证书。

问题2：移除已安装在Server A上的Server B证书，会中断SSL连接吗？ #

不会中断连接。只要Server A的cacerts里仍保留着签发Server B证书的CA根证书，且Server B的证书链没有异常（比如证书过期、链不完整等），移除单独安装的Server B证书后，Java应用依然能通过根CA完成证书验证，正常建立SSL连接。

内容的提问来源于stack exchange，提问作者Durr