SpringBoot配置SSL启动报Tomcat连接器监听端口失败如何排查

这个报错的提示信息误导性极强，你换了端口还是固定报8443启动失败的话，90%以上概率不是端口占用，是SSL证书加载流程出问题，Tomcat把所有HTTPS连接器初始化失败的场景都统一抛成这个笼统错误，按下面顺序排查就行：

• 第一步：优先校验p12证书本身有效性
  不要默认自己的证书和密码是对的，直接用JDK自带的keytool工具本地验证证书是否能正常解析，命令如下：
  keytool -list -v -keystore [你本地springboot.p12的绝对路径] -storepass [你配置的密钥库密码] -storetype PKCS12
  执行后如果报错，对应处理就行：
  • 报密码错误/密钥库篡改：检查配置里的密码是不是多打了空格、特殊字符有没有被配置文件转义，很多人生成证书时输的密码和实际配置的不一致
  • 报找不到密钥库文件：先去编译后的target/classes目录下确认有没有springboot.p12文件，大概率是maven/gradle打包时把p12后缀文件当成资源过滤掉了，需要在构建配置里加规则把p12文件纳入打包范围
  • 读出来的条目只有trustedCertEntry没有PrivateKeyEntry：说明你导出的p12文件只包含公钥没有私钥，Tomcat启动HTTPS必须要有私钥，重新导出带私钥的证书文件即可
• 第二步：排查配置覆盖和真实端口占用
  如果你改了端口还是报8443错误，先检查有没有更高优先级的配置覆盖了你写的参数：比如启动命令带的--server.port参数、系统环境变量里的SERVER_PORT配置、其他profile的配置文件里的端口配置，这些优先级都比默认application.properties高。
  确认配置没被覆盖后再查端口占用：Windows系统执行netstat -ano | findstr "对应端口号"查进程PID，Linux/macOS执行lsof -i:对应端口号查占用进程，停掉占用进程或者换空闲端口即可。
• 第三步：开启SSL调试日志拿精准错误信息
  启动应用时加JVM参数打开SSL全流程调试日志，就能看到证书加载失败的具体根因，不会再被笼统的连接器报错误导：
  java -jar 你的应用.jar -Djavax.net.debug=ssl,handshake
  常见的其他证书坑：
  • JDK版本不支持证书使用的算法，比如低版本JDK8不支持Ed25519算法生成的证书，加载时会直接失败
  • p12文件里存在多个证书别名，Tomcat默认取第一个别名不对，需要加配置server.ssl.key-alias=你的证书实际别名指定
  • 证书有效期已过，或者证书的密钥长度不符合当前JDK的安全策略限制

内容的提问来源于stack exchange，提问作者Robot Pepper