一.简介
其实本来不想写这个的，但是昨天域名备案过了后，配置https搞了我整整半天，属实是搞急了，csdn上面坑人的教程可真是多，走了很多的弯路，趁着现在还记得，就记录一下吧，后面说不定也会用到的，这篇写完就要准备去复习了，感觉离被卷死真的就一步之遥了……
二.方法
2.1 Tomcat的方法
不推荐使用这种方法，因为需要修改工程代码和配置。我在最开始配nginx转发失败时，也尝试了一下这种方法，方法是ok的，但便利程度远不及nginx，所以为什么不用nginx转发呢？不过说不定以后还会用到这种方式，所以也记录一下吧
1. 申请证书，域名购买的地方一般可以免费申请，我是在阿里云申请的，参考：阿里云域名购买，购买免费的DV单域名证书就可以了，有效期一年，到期可以继续申请的
2. 下载证书的Tomcat版本，将其中的pfx文件拷贝到项目的resource目录下
3. 配置application.yaml文件
server:
ssl:
enabled: true
key-store-password: pfx-password.txt中的密码
key-store-type: PKCS12
key-store: classpath:你的.pfx文件名
4 在SpringBoot启动项下添加相关配置
@Bean
public ServletWebServerFactory servletContainer() {
TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() {
@Override
protected void postProcessContext(Context context) {
SecurityConstraint securityConstraint = new SecurityConstraint();
securityConstraint.setUserConstraint("CONFIDENTIAL");
SecurityCollection collection = new SecurityCollection();
collection.addPattern("/*");
securityConstraint.addCollection(collection);
context.addConstraint(securityConstraint);
}
};
tomcat.addAdditionalTomcatConnectors(httpConnector());
return tomcat;
}
@Bean
public Connector httpConnector() {
Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
connector.setScheme("http");
//Connector监听的http的端口号
connector.setPort(8080);
connector.setSecure(false);
//监听到http的端口号后转向到的https的端口号
connector.setRedirectPort(443);
return connector;
}
5. 在你的服务器尝试运行一下你的项目，因为你可能会碰到很多的端口冲突情况，老老实实用lsof -i:端口号去杀冲突的进程吧.
6. 去你的域名解析那儿配置域名解析，我用的阿里云，可以参考阿里云域名解析向导
7. 最后，重新运行项目即可，不过还是不太推荐这种方式，不方便，且会出现很多很多莫名其妙的问题，所以还是用nginx吧
2.2 Nginx转发
推荐的方法!只要你别跟着csdn上面那些坑爹的教程做就好了
1. 申请证书，域名购买的地方一般可以免费申请，我是在阿里云申请的: 阿里云域名购买，购买免费的DV单域名证书就可以了，有效期一年，到期可以继续申请的
2. 下载证书的nginx版本，其中包含key和pem两个文件
3. 检查你nginx有没有安装ssl模组，nginx/sbin目录下(你可能看不见sbin这个目录，但并没有问题，可以直接带着路径执行指令)，指令nginx -V(带目录指令 /usr/local/nginx/sbin/nginx-V 前面改成你的目录)
如果显示configure arguments: --with-http_ssl_module代表正确安装了，请跳到步骤5，否则需要重新安装模块
4. 进入你nginx的目录，就是压缩包解压的目录下，使用指令./configure --with-http_ssl_module，如果您nginx没有其他的设置，建议直接执行make install重新安装，这样会覆盖原来的版本，可以确保安装没有问题，否则执行make(我没试过……不过csdn上说这样可以，要不你们试试?)，安装完按照步骤三检查一下，确保没有问题
5. 将你的pem和key文件拷贝到nginx配置文件的目录下
6. 将相关端口添加到阿里云网络安全组中，阿里云请参考阿里云端口配置，并开启防火墙限制(443,80,你项目的端口)
#基于Centor OS 7的防火墙配置过程
1. 防火墙状态设置
firewall-cmd --state #查看防火墙状态，为了安全性，建议开启开启防火墙
systemctl start firewalld.service #开启防火墙
systemctl enable firewalld.service #设置防火墙开机自启动，建议设置一下
systemctl is-enabled firewalld.service;echo $? #查看是否设置成功，显示enabled和0，代表设置成功
2.开启端口
firewall-cmd --zone=public --add-port=端口号/tcp --permanent #--permanent永久生效，没有此参数重启后失效
firewall-cmd --zone=public --add-port=1000-2000/tcp --permanent #批量添加1000-2000
firewall-cmd --reload #重新载入防火墙
firewall-cmd --list-ports #查看端口开放情况，其中须包括443，80，项目端口
7. 配置nginx配置文件，如果您不确定使用了哪个配置文件，使用指令ps -ef | grep nginx查看，最后会显示当前配置文件路径的，配置文件修改步骤如下
1.注释掉默认配置，整段需全部注释掉
server{
listen 80;
……
……
}
2.添加https端口监听
server {
listen 443 ssl;
server_name 你的域名;
ssl_certificate 你的pem文件地址;
ssl_certificate_key 你的key文件地址;
#地址可以使用对于本配置文件的相对路径，例如如果你的文件和conf同级目录下，则可以直接写文件名
#最好使用绝对路径
ssl_session_cache shared:SSL:1m;
ssl_session_timeout 5m;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
location / {
proxy_pass http://你服务器的ip:你项目的端口;
root html;
index index.html index.htm;
}
}
3.添加80端口监听和强制转化
server {
listen 80; #域名访问会默认映射到80端口
server_name 你的域名;
location / {
proxy_pass http://你服务器的ip:你项目的端口;
index index.html index.htm;
proxy_set_header Host $host;
proxy_set_header X-Real-Ip $remote_addr;
proxy_set_header X-Forwarded-For $remote_addr;
}
rewrite ^(.*)$ https://你的域名:443/$1 permanent;
}
8. 重新启动nginx，使用指令nginx -s reload即可(带目录执行/usr/local/nginx/sbin/nginx -s reload 前面改成你的目录)
9.域名解析，配置两条A记录www和@，记录值填你的ip即可，TTL无需修改
三.其他
如果您将网站升级了https，请注意网站内所有http链接都会失效