Jetty 9.4嵌入式版：如何配置SSL密码套件优先级顺序？

嘿，我正好折腾过Jetty 9.4的SSL配置，你的需求完全可以实现！你已经开启了setUseCipherSuitesOrder(true)，这步很关键——接下来只需要用SslContextFactory的setCipherSuites()方法，直接指定按优先级排序的密码套件列表就行。

核心配置逻辑 #

Jetty的SslContextFactory.Server类提供了setCipherSuites(String[] cipherSuites)方法，你只需要把想要的密码套件按优先级从高到低放进数组里，Jetty就会严格按照这个顺序和客户端协商（因为你已经开了useCipherSuitesOrder=true）。

示例代码（优先PFS+兼容旧客户端） #

这里给你一个实用的配置示例，优先支持完美前向保密的套件，最后兼容部分旧客户端：

// 初始化SSL上下文工厂
SslContextFactory.Server sslContextFactory = new SslContextFactory.Server();

// 开启服务器端密码套件顺序优先级（你已经做了这步，确认保留）
sslContextFactory.setUseCipherSuitesOrder(true);

// 按优先级排列密码套件：优先ECDHE（PFS），然后DHE（PFS），最后兼容非PFS的旧套件
sslContextFactory.setCipherSuites(new String[]{
    // 首选ECDHE系列（PFS，性能和安全性都好）
    "ECDHE-ECDSA-AES256-GCM-SHA384",
    "ECDHE-RSA-AES256-GCM-SHA384",
    "ECDHE-ECDSA-CHACHA20-POLY1305",
    "ECDHE-RSA-CHACHA20-POLY1305",
    "ECDHE-ECDSA-AES128-GCM-SHA256",
    "ECDHE-RSA-AES128-GCM-SHA256",
    // 其次是DHE系列（PFS，兼容不支持ECDHE的客户端）
    "DHE-RSA-AES256-GCM-SHA384",
    "DHE-RSA-AES128-GCM-SHA256",
    // 最后添加少量兼容旧客户端的非PFS套件（按需取舍，避免太不安全的）
    "AES256-GCM-SHA384",
    "AES128-GCM-SHA256"
});

// 配置你的密钥库和信任库（替换成你的实际路径和密码）
sslContextFactory.setKeyStorePath("/path/to/your/keystore.jks");
sslContextFactory.setKeyStorePassword("your-keystore-password");
sslContextFactory.setKeyManagerPassword("your-key-manager-password");

// 将SSL工厂绑定到Jetty服务器的Connector
Server jettyServer = new Server();
ServerConnector sslConnector = new ServerConnector(jettyServer, sslContextFactory);
sslConnector.setPort(443); // 监听HTTPS端口
jettyServer.addConnector(sslConnector);

// 后续添加你的Servlet/Handler等配置...

额外注意事项 #

• 套件选择建议：尽量避免使用3DES、RC4这类已被证明不安全的套件；如果不是必须兼容非常老旧的客户端，非PFS的套件可以少加甚至不加。
• 查看支持的套件：可以在终端运行openssl ciphers -v，或者通过Java代码sslContextFactory.getDefaultCipherSuites()获取Jetty默认的套件列表，再基于这个列表调整顺序和内容。
• 验证配置效果：配置完成后，用SSL测试工具检查，确认支持PFS的套件被优先选中，同时旧客户端能正常连接（如果添加了兼容套件的话）。

内容的提问来源于stack exchange，提问作者CBusDeveloper