SpringBoot如何配置Https访问

红太狼 2023-10-13 15:18 10阅读 0赞

众所周知，越来越多的服务在使用https协议进行交互，而对于Java项目来说，使用Spring Boot搭建服务已然是默认的选项，而springboot内置的tomcat容器，默认是使用http协议的，那如何将它转换为https协议？

# 理论 #

在我们转换http协议到https协议前，我们先来简单了解下https协议的前世今生。 https是 **Hypertext Transfer Protocol Secure** 的首字母缩写，是在http协议的基础之上，加入了 *SSL/TLS* 协议，准确的说法是 *TLS1.2* 或者 *TLS1.3* 协议。这里，我们一起看下 *SSL/TLS* 协议的发展历史：

![format_png][]

> 1994年，网景公司 (Netscape) 发明了 SSL 协议。随着互联网的发展，一个安全的传输协议变的越来越重要和越被需要，不过由于协议的安全缺陷，1.0版本并未正式发布

> 1995年2月，其2.0版本，作为SSL协议的第一版正式协议发布。在2011年，IETF（Internet Engineering Task Force）组织，宣布：2.0版本由于包含众多缺陷被废弃。比如：使用 MD5 进行消息认证，缺少握手机制，使用相同的密钥进行加密、解密，等等

> 1996年11月，3.0版本正式发布。在2015年7月，IETF 再一次宣布，3.0版本过时被废弃，开始全面拥抱 TLS 协议

> 1999年1月，在 IETF 接手了 Netsccape 的 SSL 协议后，将其重命名为 TLS，并正式发布其第一个版本 TLS 1.0。但此版本，事实上只是对 SSL 3.0版本进行适当改进

> 2006年4月，TLS 1.1版本正式发布。该版本继续对 TLS 1.0版本进行修补。可以看出，对于 TLS 1.0及1.1版本，其本质上是 SSL 协议到 TLS 协议的过渡版本。在2018年10月，苹果、谷歌、微软、Mozilla基金会共同宣布 TLS 1.0及1.1版本，将预计在2020年3月过期，并于2021年3月正式宣布，这两个版本过期

> 2008年8月，TLS 1.2版本正式发布。该版本也是目前互联网的主流版本之一，改动包括了增加更多加密套件等特性。目前还没有官方说明此版本的过期时间，但是预计在2026年左右，将会宣布。

> 2018年8月，TLS 1.3版本正式发布。截止到现在，也是该协议的最新版本。IETF 用时10年时间，通过28项草案，最终完成该协议。协议包含了，移除不安全的技术比如 SHA-1, MD5, DES 等，并在性能上也进行了优化。目前所有的现代浏览器都支持该协议

# 实践 #

在我们对 *SSL/TLS* 协议有了基本了解后，我们下一步，就通过 JDK 自带的工具 keytool 生成一个带有证书的 keystore。

> 本文演示的JDK版本为17，Spring Boot 版本为3.1.0，其他版本同理。

在使用 keytool 时，其实并不需要死记硬背命令、参数，通过 --help 可以很容易的理解，每个命令需要哪些参数，比如:

![format_png 1][]

而对于诸如 keyalg, storetype 等参数支持的选项，可以查看 JDK 源码或者 Oracle 官方文档： 参数列表，比如 -keyalg 支持的加密算法类型：

![format_png 2][]

接下来，我们执行如下命令生成一个包含私钥的 keystore

batch复制代码keytool -genkeypair -alias springboot -keyalg EC -keysize 256 -validity 365 -keypass 123456 -keystore EC_keystore.jks -storepass 123456 -storetype jks

![format_png 3][]

参数解释：

java复制代码-alias springboot // 指定生成的 keystore 中 entry 也就是证书的别名
    -keyalg EC // 指定加密算法，RSA 是大家最常用的，这里使用其它算法演示
    -keysize 256 // 指定加密算法的长度，不同算法，对应着不同的长度限制，比如 DSA，长度不能超过2048
    -validity 365 // 指定证书的有效期
    -keypass 123456 // 指定证书的密码
    -keystore EC_keystore.jks // 指定 keystore 文件名，默认路径就是执行命令行的当前路径
    -storepass 123456 // 指定 keystore 的密码
    -storetype jks // 指定 keystore 的类型

在我们生成 keystore 的过程中，keytool 会根据参数做提示，比如：

Warning:JKS 密钥库使用专用格式。建议使用 "keytool -importkeystore -srckeystore EC\_keystore.jks -destkeystore EC\_keystore.jks -deststoretype pkcs12" 迁移到行业标准格式 PKCS12。

所以我们可以根据建议，做适当调整。

--------------------

keystore 有了之后，将其拷贝到 springboot 项目中，并在启动的日志中，观察到，springboot 已经成功加载了 keystore：

![format_png 4][]

![format_png 5][]

打开浏览器，访问 rest url，我们可以看到，浏览器已经对我们的请求地址进行了拦截，并告知不安全的地址，因为这个证书是我们通过keytool自签名生成的，并不是浏览器认可的CA:

![format_png 6][]

点击 Processeds，就可以看到服务端的返回数据了。

![format_png 7][]

# 总结 #

其实将springboot配置成https的方式很简单，重点是其背后的 SSL/TLS 协议，涉及到的对称加密、非对称加密、证书、CA，在下一篇中，我们将通过 wireshark，对基于 https 协议的交互进行抓包，来了解针对 https 请求，tcp 都做了什么。

[format_png]: https://img-blog.csdnimg.cn/img_convert/5eb33afb5c2764435e1ecc3d28f0439b.webp?x-oss-process=image/format,png
[format_png 1]: https://img-blog.csdnimg.cn/img_convert/ed8abecfe5946f6a9778aea71be15740.webp?x-oss-process=image/format,png
[format_png 2]: https://img-blog.csdnimg.cn/img_convert/975028476ffb31803f2752b00da2129e.webp?x-oss-process=image/format,png
[format_png 3]: https://img-blog.csdnimg.cn/img_convert/1b56a4b36402c8b349c3275d09c15cff.webp?x-oss-process=image/format,png
[format_png 4]: https://img-blog.csdnimg.cn/img_convert/2041521bb150044cf6c67b0d4cf64dbf.webp?x-oss-process=image/format,png
[format_png 5]: https://img-blog.csdnimg.cn/img_convert/74bffc1697079bf02687b130f31dc6bb.webp?x-oss-process=image/format,png
[format_png 6]: https://img-blog.csdnimg.cn/img_convert/2dd6c79d06274b2b9e7c47a23909203b.webp?x-oss-process=image/format,png
[format_png 7]: https://img-blog.csdnimg.cn/img_convert/cfc0cf75a841e20e9af67a4646cd9af4.webp?x-oss-process=image/format,png