[Java实战]Spring Boot 快速配置 HTTPS 并实现 HTTP 自动跳转(八)

news2025/5/16 4:47:51

[Java实战]Spring Boot 快速配置 HTTPS 并实现 HTTP 自动跳转(八)

引言

在当今网络安全威胁日益严峻的背景下，为 Web 应用启用 HTTPS 已成为基本要求。Spring Boot 提供了简单高效的方式集成 HTTPS 支持，无论是开发环境测试还是生产环境部署，都能轻松实现数据加密传输。本文将手把手教你从零配置 HTTPS，并深入解析常见问题与优化方案。

一、HTTPS 核心概念

1. HTTPS 是什么？

定义：基于 TLS/SSL 协议的 HTTP 安全版本，通过加密和身份认证保障数据传输安全。
核心组件：
- 证书：由 CA（证书颁发机构）签发，验证服务器身份。
- 公钥/私钥：非对称加密算法的密钥对，用于握手协商。

2. 证书类型对比

类型	适用场景	特点	示例
自签名证书	本地开发、测试环境	免费、快速生成，浏览器不信任	使用 `keytool` 生成
CA 签发证书	生产环境	付费或免费（Let’s Encrypt）	Let’s Encrypt 证书
通配符证书	多子域名场景	覆盖 `*.example.com`	DigiCert 通配符证书

二、Spring Boot 配置 HTTPS 全流程

1. 生成证书（开发环境）

1.1 使用 `keytool` 生成自签名证书

keytool -genkeypair -alias mydomain -keyalg RSA -keysize 2048 -storetype PKCS12 -keystore keystore.p12 -validity 3650

参数说明：
- -alias：证书别名
- -keystore：密钥库文件名
- -storetype PKCS12：密钥库格式（推荐）
- -validity：有效期（天）

在这里插入图片描述

1.2 生成后文件说明

keystore.p12：包含证书和私钥的密钥库文件。
重要提示：记录生成的密钥库密码（如 123456）。

2. Spring Boot 项目配置

2.1 将证书放入项目

将生成的 keystore.p12 复制到项目的 src/main/resources 目录下。

2.2 配置 `application.yml`

server:
  port: 8080  # 自定义端口
  # 证书配置
  ssl:
    key-store-type: PKCS12
    key-store: src/main/resources/keystore.p12
    key-store-password: 123456  # 替换为你的密码
    key-alias: mydomain

3. 验证 HTTPS 服务

启动应用后访问：

https://localhost:8080/hello?name=mandao

浏览器提示不安全：这是自签名证书的正常现象，手动确认继续访问即可。

在这里插入图片描述

三、进阶配置：HTTP 自动跳转 HTTPS

1. 强制所有请求重定向到 HTTPS

@Configuration
public class HttpsRedirectConfig {

    @Bean
    public ServletWebServerFactory servletContainer() {
        TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() {
            @Override
            protected void postProcessContext(Context context) {
                SecurityConstraint securityConstraint = new SecurityConstraint();
                securityConstraint.setUserConstraint("CONFIDENTIAL");
                SecurityCollection collection = new SecurityCollection();
                collection.addPattern("/*");
                securityConstraint.addCollection(collection);
                context.addConstraint(securityConstraint);
            }
        };
        tomcat.addAdditionalTomcatConnectors(redirectHttpConnector());
        return tomcat;
    }

    private Connector redirectHttpConnector() {
        Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
        connector.setScheme("http");
        connector.setPort(8081);      // HTTP 端口
        connector.setSecure(false);
        connector.setRedirectPort(8443); // HTTPS 端口
        return connector;
    }
}

2. 测试效果

访问 http://localhost:8081 将自动跳转到 https://localhost:8443`。

四、生产环境配置（CA 证书）

1. 获取 CA 证书

推荐使用 Let’s Encrypt（免费）：

certbot certonly --manual -d example.com

生成文件：

fullchain.pem：证书链
privkey.pem：私钥

2. 转换为 PKCS12 格式

openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out keystore.p12 -name mydomain

将生成的 keystore.p12 放入项目并更新配置：

server.ssl.key-store=classpath:keystore.p12
server.ssl.key-store-password=your-password

五、常见问题与解决方案

1. 证书加载失败

错误信息：IOException: Keystore was tampered with, or password was incorrect
解决：
- 检查 server.ssl.key-store 路径是否正确。
- 确认密钥库密码与配置一致。
- 确保证书格式为 PKCS12（旧版 JKS 需转换）。