同一Tomcat实例内跨应用调用SSL Web服务是否需配置信任库？

嘿，这个问题的核心取决于你Application A调用Application B时使用的协议是HTTP还是HTTPS，分两种情况来看：

情况1：使用HTTP协议调用 #

完全不需要配置TrustStore，也不用往JVM的cacerts里添加任何公钥/证书。因为HTTP是明文传输协议，不存在SSL/TLS证书验证的环节，Tomcat和JVM层面都不需要做额外的证书信任配置。

情况2：使用HTTPS协议调用 #

这时候要根据Application B所用证书的类型来判断：

子情况2.1：使用公共CA签发的证书 #

如果Application B的HTTPS证书是由Let's Encrypt、DigiCert这类被广泛信任的公共CA签发的，那你什么都不用做——JVM默认的cacerts密钥库已经预装了这些公共CA的根证书，Application A在调用时会自动验证通过证书的合法性。

子情况2.2：使用自签名/私有CA签发的证书 #

这种情况下必须配置信任，有两种常用方案：

• 方案一：导入证书到JVM全局的cacerts
  把Application B的证书（或者私有CA的根证书）导入到Tomcat所使用JVM的cacerts文件中，执行类似以下命令：

  keytool -importcert -alias appb-cert -file /path/to/appb-ssl.crt -keystore $JAVA_HOME/jre/lib/security/cacerts
  

  注意：cacerts的默认密码是changeit，执行后需要重启Tomcat生效。这种方式会让整个JVM下的所有应用都信任该证书。
• 方案二：给Application A配置独立的TrustStore
  如果你不想影响全局JVM的信任配置，可以给Application A单独指定一个自定义的TrustStore：
  1. 先把证书导入到自定义的TrustStore文件中：

     keytool -importcert -alias appb-cert -file /path/to/appb-ssl.crt -keystore /path/to/my-truststore.jks
     

  2. 在Tomcat中给Application A添加启动参数（可以在应用的context.xml或者Tomcat的setenv.sh/setenv.bat里配置）：

     -Djavax.net.ssl.trustStore=/path/to/my-truststore.jks
     -Djavax.net.ssl.trustStorePassword=your-truststore-password
     

  这种方式只会让Application A信任该证书，不会影响同一Tomcat下的其他应用。

另外补充一点：即使两个应用部署在同一Tomcat实例，只要用HTTPS调用，证书验证逻辑和跨服务器调用是一致的——如果证书不被信任，调用还是会失败。

内容的提问来源于stack exchange，提问作者rrrohanb