启用SSL启动Tomcat触发SIGSEGV错误，禁用SSL可正常运行

问题概述 #

在Ubuntu服务器部署的Spring Boot REST API，禁用SSL时可正常启动并通过HTTP访问；启用SSL配置后触发JVM致命错误（SIGSEGV），崩溃涉及Tomcat Native库libtcnative-1.so，启动前抛出上下文初始化失败警告。

关键信息 #

• 密钥库生成命令：

  keytool -genkey -alias tomcat-localhost -keyalg RSA -keysize 2048 -validity 3650 -keystore keystore.jks
  

• SSL配置参数：

  server.ssl.enabled=true
  server.ssl.key-store=[path]/keystore.jks
  server.ssl.key-store-password=[password]
  server.ssl.key-store-provider=SUN
  server.ssl.key-store-type=p12
  server.ssl.keyAlias=tomcat-localhost
  server.ssl.key-password=[password]
  

• 崩溃核心信息：

  # A fatal error has been detected by the Java Runtime Environment:
  # SIGSEGV (0xb) at pc=0x00007f35e2dec9ca, pid=4663, tid=4673
  # Problematic frame:
  # C  [libtcnative-1.so.0.2.21+0x1c9ca]  Java_org_apache_tomcat_jni_SSLContext_free+0xa
  

可能原因 #

1. 密钥库类型不匹配：生成的是JKS格式密钥库，但配置指定为P12，导致Tomcat加载时解析失败，触发本地库崩溃
2. Tomcat Native库版本兼容问题：旧版本libtcnative-1.so与OpenJDK 17存在兼容性冲突
3. SSL配置参数错误：密钥库路径、密码、别名等参数不匹配，或文件权限不足

解决步骤 #

1. 修复密钥库类型不匹配 #

方案一：修改配置适配JKS格式

将配置文件中的密钥库类型改为JKS：

server.ssl.key-store-type=JKS

方案二：转换密钥库为P12格式

执行以下命令将JKS转换为PKCS12格式：

keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.p12 -srcstoretype JKS -deststoretype PKCS12 -srcalias tomcat-localhost -destalias tomcat-localhost

更新配置文件对应参数：

server.ssl.key-store=[path]/keystore.p12
server.ssl.key-store-type=p12

2. 验证配置正确性 #

• 确认server.ssl.key-store为密钥库文件的绝对路径，并赋予Java进程读权限：

  chmod 644 [path]/keystore.jks
  

• 确保server.ssl.key-store-password、server.ssl.key-password与生成密钥库时设置的密码完全一致
• 检查server.ssl.keyAlias与生成时的别名tomcat-localhost完全匹配（区分大小写）

3. 解决Tomcat Native库兼容性问题 #

升级本地库

通过apt安装最新版本的Tomcat Native：

sudo apt update && sudo apt install libtcnative-1

禁用Tomcat Native（测试用）

如果暂时无法升级，可在项目依赖中排除Tomcat Native，强制使用Java实现的SSL：

<!-- pom.xml -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.apache.tomcat.extras</groupId>
            <artifactId>tomcat-extras-native</artifactId>
        </exclusion>
    </exclusions>
</dependency>

4. 启用调试日志定位细节 #

启动应用时添加debug参数，获取SSL初始化的详细日志：

java -jar your-app.jar --debug

重点查看日志中关于密钥库加载、SSL上下文初始化的错误信息，进一步定位问题。

内容的提问来源于stack exchange，提问作者jqlifice