Tomcat SSL 證書配置無法登錄的排查思路

問題現象

在 Tomcat 的 server.xml 中配置 HTTPS 連接器，並放置 bmsServer.jks 證書文件。前輩同樣配置可正常登錄並顯示加密鎖，但自己的環境無法登錄，其他電腦訪問也失敗，即便自行生成證書問題依舊。

配置片段

<Connector port="8443" maxThreads="150" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="conf/bmsServer.jks" keystorePass="bms001" />

排查方向

1. 證書文件路徑與權限：確認 keystoreFile 路徑相對 CATALINA_BASE 正確，且 Tomcat 進程有讀取權限。
2. 密鑰庫密碼一致性：keystorePass 必須與生成 JKS 時設置的密碼完全一致。
3. 證書主體替代名 (SAN)：現代瀏覽器要求證書包含訪問域名/IP 的 SAN 擴展，缺失會導致信任失敗。
4. 客戶端信任鏈：若使用自簽證書，客戶端需導入 CA 證書或信任該證書，否則會阻攔連接。
5. 防火牆/網絡隔離：確保 8443 端口在服務器防火牆、安全組均已開放。
6. 瀏覽器緩存與 HSTS：清除瀏覽器緩存，或嘗試無痕模式訪問。

建議驗證步驟

使用 openssl s_client -connect localhost:8443 -servername your.domain 檢查證書鏈是否完整；在瀏覽器開發者工具的 Security 頁面查看具體錯誤代碼。