Spring Boot 2 way TLS配置及开发场景部署疑问咨询

问题1：开发场景下能否仅在单个Spring MVC中实现双向TLS能力，还是需要单独搭建客户端MVC？ #

不需要单独搭建客户端Spring MVC项目。双向TLS是传输层的验证能力，你当前的Spring Boot服务作为服务端，只需要开启对应配置就能完成服务端侧的双向TLS支持：把你配置中注释的server.ssl.client-auth=need取消注释，即可强制所有访问该服务的客户端必须出示合法证书完成双向校验。
开发阶段调试时，你可以用Postman、curl等工具配置客户端证书直接发起请求，也可以写简单的客户端工具代码（比如配置带证书的RestTemplate/WebClient）调用，不需要额外搭建完整的客户端MVC服务。

问题2：如何查找及配置对应的Tomcat server.xml文件？ #

Spring Boot默认使用内嵌Tomcat，官方推荐直接通过application.properties/yml配置TLS参数，不需要手动修改server.xml文件，你当前写的配置项已经完全覆盖了常规TLS配置需求，比修改xml更简洁易维护。
如果你确实需要使用server.xml配置，分两种场景：

• 若使用外置Tomcat部署Spring Boot的war包，server.xml文件位于外置Tomcat安装目录的conf文件夹下
• 若坚持在内嵌Tomcat中使用server.xml，需要额外配置WebServerFactoryCustomizer加载自定义的xml文件，该方式复杂度较高，非特殊需求不建议使用。

问题3：仅使用单个微服务实现双向TLS，truststore证书应当存储在什么位置？ #

不同场景存储方式不同：

• 开发场景：你当前配置的classpath:keystore/路径就非常合适，直接把truststore.jks放到项目resources/keystore目录下即可，打包时会自动打入jar包，开发阶段调试无需额外配置
• 生产场景：不建议将truststore打入jar包，建议存储到服务部署服务器的本地安全目录（比如/opt/ssl/、/data/ssl/等），配置项改为server.ssl.trust-store=file:/opt/ssl/truststore.jks，同时将该目录的读写权限限制为仅服务运行账号可访问，避免证书泄露。

内容的提问来源于stack exchange，提问作者swarajsingh78