Tomcat9配置8443端口HTTPS：选SSLHostConfig还是Connector属性？

核心结论 #

两种配置方式都能正常工作，但分属新旧两种语法规范：

• 基于<Connector>属性的是传统兼容语法
• 嵌套<SSLHostConfig>+<Certificate>的是Tomcat 8.5及以后引入的推荐新语法

两种配置方式的细节 #

1. 传统兼容语法（Connector属性） #

这是Tomcat8.5之前的标准写法，Tomcat9为了向下兼容依然支持。配置将所有SSL相关参数直接写在<Connector>标签的属性中：

<!-- Define an SSL Coyote HTTP/1.1 Connector on port 8443 -->
<Connector
           protocol="org.apache.coyote.http11.Http11NioProtocol"
           port="8443" maxThreads="200"
           scheme="https" secure="true" SSLEnabled="true"
           keystoreFile="${user.home}/.keystore" keystorePass="changeit"
           clientAuth="false" sslProtocol="TLS"/>

这种写法的缺点是灵活性不足，无法支持单端口多证书（SNI）、多SSL协议配置等进阶需求。

2. 推荐新语法（SSLHostConfig+Certificate） #

Tomcat8.5开始引入的新配置模式，也是Tomcat9默认server.xml中使用的写法。它将SSL配置拆分到<SSLHostConfig>（主机级SSL配置）和<Certificate>（证书配置）子标签中：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/localhost-rsa.jks"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

这种设计的优势在于：

• 支持在同一个<Connector>下配置多个<SSLHostConfig>，实现SNI（服务器名称指示），即单端口对应多个域名的不同证书
• 证书配置与主机SSL参数分离，结构更清晰
• 支持更细粒度的SSL协议、密码套件配置

关于官方文档的疑问 #

你遇到的官方SSL指南未提及新语法的情况，是因为该文档属于入门级教程，更新节奏慢于Tomcat的功能迭代。Tomcat的核心配置文档中已经详细说明了<SSLHostConfig>和<Certificate>的用法，只是需要查看更深入的配置参考章节。

配置建议 #

• 如果你只需要基础的单证书HTTPS服务，两种写法都可以
• 如果你需要进阶的SSL特性（如SNI、多证书、精细的协议控制），强烈建议使用新语法
• 新语法是Tomcat未来版本的演进方向，传统语法可能在后续大版本中逐步被标记为过时

内容的提问来源于stack exchange，提问作者PatS