1、为服务器生成证书
使用Java自带的命令工具生成证书，
“运行”控制台，进入%JAVA_HOME%/bin目录，使用keytool.exe为tomcat生成证书，假定目标机器的域名为localhost,keystore文件存放在“E:\TestData\tomcat.keystore”,口令为password（我这里是123456），使用如下命令生成：
| keytool -genkey -v -alias tomcat -keyalg RSA -keystore E:\TestData\tomcat.keystore -validity 36500 |
该命令会提示填写密码，输入密码即可，我这里是123456，会提示输入姓名与姓氏是什么， 我这里填写的是localhost,注意这里如果填写的是域名浏览器访问的时候就使用域名， 填写的是IP浏览器访问的时候使用IP，会提示输入组织和单位，国家，区域，等一些信息， 这里随便输入自己的就行。
参数说明：查看文末
2、为客户端生成证书
为浏览器生成证书，并让服务器来验证它，为了将证书顺利导入到浏览器，证书格式为PKCS12， 使用如下命令生成：
| keytool -genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystore E:\TestData\mykey.p12 |
参数说明：查看文末
3、让服务器信任客户端证书
由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。
由于不能直接将PKCS12格式的证书库导入，必须先把客户端证书导出为一个单独的CER文件，使用如下命令：
| keytool -export -alias mykey -keystore E:\TestData\mykey.p12 -storetype PKCS12 -storepass password -rfc -file E:\TestData\mykey.cer |
参数说明：查看文末
4、将文件导入到服务器的证书库，添加为一个信任证书
使用如下命令：
| keytool -import -v -file E:\TestData\mykey.cer -keystore E:\TestData\tomcat.Keystore |
通过list命令可以查看服务器的证书库，可以看到两个证书，一个是服务器证书，一个是受信任的客户端证书
| keytool -list -keystore E:\TestData\tomcat.keystore |
参数说明：查看文末
5、让客户端信任服务器证书
由于是双向SSL认证，客户端也要认证服务器证书，因此，必须把服务器证书添加到客户端的“受信任的根证书颁发机构”。
由于不能直接将keystore格式的证书库导入，必须先把服务器证书导出为一个单独的CER文件，使用如下命令：
| keytool -keystore E:\TestData\tomcat.keystore -export -alias tomcat -file E:\TestData\tomcat.cer |
参数说明：查看文末
6、配置tomcat服务器
打开tomcat根目录下的conf/server.xml,找到Connector port="8443"配置段，修改为如下：
<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"enableLookups="false"acceptCount="100" disableUploadTimeout="true"maxThreads="150" SSLEnabled="true" scheme="https"secure="true" clientAuth="true" sslProtocol="TLS"keystoreFile="E:/TestData/KeyStore" keystorePass="123456"truststoreFile="E:/TestData/KeyStore" truststorePass="123456">
属性说明：
clientAuth: 设置是否双向验证，默认为false，设置true代表双向验证
keystorefile: 服务器证书文件路径
keystorePass: 服务器证书密钥
truststoreFile：用来验证客户端证书的根证书，此例中就是服务器证书
truststorePass: 根证书密钥
7、测试
先启动tomcat，在tomcat根目录下，bin/startup.bat
在浏览器中输入https://localhost:8443/, 如果没有将我们生成的证书添加到浏览器， 则会弹出选择客户端证书界面，
以chrome浏览器为例：设置-隐式设置和安全性-管理证书-导入我们生成的mykey.cer,再次访问，会显示您的连接不是一个私密连接，点击“高级继续前往”即可看到Tomcat的启动首页
8、参数说明
-genkey 在用户主目录中创建一个默认文件".keystore",还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书 (在没有指定生成位置的情况下,keystore会存在用户系统默认目录，如：对于window xp系统，会生成在系统的C:/Documents and Settings/UserName/文件名为“.keystore”) -alias 产生别名 -keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中) -keyalg 指定密钥的算法 (如 RSA DSA（如果不指定默认采用DSA）) -validity 指定创建的证书有效期多少天 -keysize 指定密钥长度 -storepass 指定密钥库的密码(获取keystore信息所需的密码) -keypass 指定别名条目的密码(私钥的密码) -dname 指定证书拥有者信息 例如： "CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名称,ST=州或省份名称,C=单位的两字母国家代码" -list 显示密钥库中的证书信息 keytool -list -v -keystore 指定keystore -storepass 密码 -v 显示密钥库中的证书详细信息 -export 将别名指定的证书导出到文件 keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码 -file 参数指定导出到文件的文件名 -delete 删除密钥库中某条目 keytool -delete -alias 指定需删除的别 -keystore 指定keystore -storepass 密码 -printcert 查看导出的证书信息 keytool -printcert -file yushan.crt -keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new 新密码 -storepass keystore密码 -keystore sage -storepasswd 修改keystore口令 keytool -storepasswd -keystore e:/yushan.keystore(需修改口令的keystore) -storepass 123456(原始密码) -new yushan(新密码) -import 将已签名数字证书导入密钥库 keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证 |
