已在Spring Boot应用层配置HTTPS，如何配置Tomcat实现HTTPS？

当你把配置了HTTPS的Spring Boot应用打包成WAR部署到外部Tomcat时，Spring Boot的server.ssl系列配置会失效——因为外部Tomcat完全接管了端口和SSL终止逻辑。要避免重复配置密钥库信息，可以试试以下几种方案：

方案1：复用Spring Boot的密钥库文件 #

直接将Spring Boot配置中使用的密钥库文件（比如你的PKCS12文件）复制到Tomcat可访问的路径（例如Tomcat_HOME/conf目录），然后在Tomcat的server.xml的SSL Connector中引用这个文件，只需维护一份密钥库，不用重新生成证书：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/your-spring-boot-keystore.p12"
                     certificateKeystorePassword="my_password"
                     certificateKeystoreType="PKCS12"
                     certificateKeyAlias="key_alias"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

方案2：通过系统属性传递SSL配置 #

如果不想在server.xml中硬编码配置，可以在启动Tomcat时通过JVM系统参数传递SSL信息，再在配置文件中引用这些参数：

1. 启动Tomcat时添加JVM参数：

-Dssl.keystore.file=/path/to/your-spring-boot-keystore.p12
-Dssl.keystore.password=my_password
-Dssl.keystore.type=PKCS12
-Dssl.key.alias=key_alias

2. 修改Tomcat的server.xml，用${参数名}引用系统属性：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="${ssl.keystore.file}"
                     certificateKeystorePassword="${ssl.keystore.password}"
                     certificateKeystoreType="${ssl.keystore.type}"
                     certificateKeyAlias="${ssl.key.alias}"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

这种方式能让SSL配置集中管理，避免硬编码敏感信息，同时和Spring Boot的配置逻辑对齐。

额外注意事项 #

部署到外部Tomcat后，所有HTTPS请求由Tomcat的SSL Connector终止，再以HTTP方式转发给Spring Boot应用。需添加以下配置让Spring Boot识别Tomcat的SSL转发：

server.tomcat.remote-ip-header=x-forwarded-for
server.tomcat.protocol-header=x-forwarded-proto

内容的提问来源于stack exchange，提问作者Dindar