Tomcat 9配置使用client certificate及truststore报错问题咨询

核心根因 #

你当前使用的truststore中存储的条目类型为PrivateKeyEntry（私钥条目），Tomcat 9的SSL校验逻辑比Tomcat 7更严格，truststore仅会将trustedCertEntry（受信任证书条目）识别为合法信任锚，私钥条目会被直接忽略，因此触发trustAnchors parameter must be non-empty报错。

修复步骤 #

1. 从现有truststore中导出公钥证书
   执行如下命令：

keytool -export -alias mycert -file mycert.crt -keystore /usr/share/tomcat9/truststore.jks

按提示输入truststore密码后，会在当前目录生成mycert.crt证书文件。

2. 生成符合要求的新truststore
   执行如下命令将导出的证书作为受信任条目导入新的truststore：

keytool -import -alias mycert -file mycert.crt -keystore /usr/share/tomcat9/new_truststore.jks -storetype PKCS12

按提示设置新的truststore密码，询问是否信任证书时输入yes确认。

3. 更新server.xml配置
   修改SSLHostConfig中的truststore相关配置，指向新生成的truststore文件，填写对应密码即可：

<SSLHostConfig protocols="TLSv1.2" certificateVerification="required"
               truststoreFile="/usr/share/tomcat9/new_truststore.jks"
               truststorePassword="你的新truststore密码"
               truststoreType="PKCS12">  
</SSLHostConfig>

其他可选排查点 #

• 确认Tomcat运行用户对truststore文件有读权限，若使用默认tomcat用户运行服务，可执行chown tomcat:tomcat /usr/share/tomcat9/new_truststore.jks修复权限
• 核对truststorePassword配置与实际密码完全一致，避免配置文件中特殊字符转义错误、多余空格等问题
• 检查Tomcat启动参数中是否存在-Djavax.net.ssl.trustStore、-Djavax.net.ssl.trustStorePassword等JVM参数，这类参数的优先级高于server.xml配置，会覆盖自定义的truststore设置

内容的提问来源于stack exchange，提问作者dlkmp