大概思路：
使用openssl生产CA证书，使用keytool生产密钥库
1、生成CA密钥
genrsa [产生密钥命令] -des3 [加密算法] -out[密钥文件输出路径] 512 [密钥位数]
openssl genrsa -des3 -out root.key 512
可通过下面语句清除密码
openssl rsa -in root.key -out root.key
2、生成CA证书请求文件
req[产生证书命令] -new[新生成] -key[私钥文件路径] -out[证书文件输出路径]
openssl req -new -key root.key -out root.csr
3、生成CA证书（自签名）root.crt
x509[签发x509证书命令] -req[输入待签发证书] -days[证书有效期] -signkey[自签发密钥文件路径]
-in[输入待签发证书文件路径] -out[产生x509证书文件输出路径]
openssl x509 -req -days 3650 -sha1 -extensions v3_ca -signkey root.key -in root.csr -out root.crt
二、生成服务器端证书
1、生成密钥对
-certreq[产生待签名证书] -alias[证书别名] -sigalg[证书算法参数] -file [产生文件输出路径]
-keypass[密钥保护密码] -keystore[存储文件路径] -storepass[存储密码]
keytool -certreq -alias server -sigalg MD5withRSA -file server.csr -keypass tomcat -keystore server.jks -storepass tomcat
3、使用CA证书为服务器证书签名
-alias[服务器证书的别名] -file[证书文件路径] -keystore[导入文件路径] -noprompt[不提示”您仍然想要将它添加到自己的keystore 吗？”]
keytool -import -v -trustcacerts -storepass tomcat -keypass tomcat -alias server-ca -file root.crt -keystore servertrust.jks
到这一步产生两个密钥库文件：server.jks、servertrust.jks，在tomcat的SSL配置中会用到，这里的两个密钥文件可以合并为一个，也就是将CA和服务器证书导入同一个密钥文件，然后客户端证书也导入该文件，这样在修改tomcat配置时，密钥文件和信任密钥文件就可以指定为同一个文件了。
四、修改TOMCAT配置
修改conf/server.xml配置文件如下：
maxThreads=”150″ SSLEnabled=”true” scheme=”https” secure=”true”
keystoreFile=”conf/server.jks” keystorePass=”tomcat”
truststoreFile=”conf/servertrust.jks” truststorePass=”tomcat”
clientAuth=”flase” sslProtocol=”TLS” />
现在就已经实现了tomcat单向SSL认证了，若要实现双向认证，需要将clientAuth值改为true。
五、生成客户端证书
1、生成客户端密钥
genrsa [产生密钥命令] -out[密钥文件输出路径] 512 [密钥位数]
openssl genrsa -des3 -out client.key 512
2、生成客户端证书申请文件
req[产生证书命令] -new[新生成] -out[证书文件输出路径] -key[私钥文件路径]
openssl req -new -out client.csr -key client.key
3、使用CA证书为客户端证书签名
x509[签发x509证书命令] -req[输入待签发证书] -in[输入待签发证书文件路径] -out[产生x509证书文件输出路径]
-signkey [密钥文件路径]
-CA[签发根证书] -CAkey[根证书密钥文件] -days[证书有效期] -CAserial[CA序列号文件]
openssl x509 -req -in client.csr -out client.crt -signkey client.key -CA root.crt -CAkey root.key -days 365 -CAserial root.serial
4、将客户端证书导出为windows可识别的格式.p12
pkcs12[生成PKS12格式证书命令] -export[导出文件] -clerts[仅导出client证书]
-in[输入的client证书文件路径] -inkey[client证书密钥文件路径] -out[导出PKS12格式文件路径]
openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12
在导出时可以设置密码，只有知道该密码才能将证书导入浏览器。
5、将签名之后的证书文件client.crt导入至信任秘钥库中（这里由于没有去ca认证中心购买个人证书，所以只有导入信任库才可进行双向ssl交互，实验亲自验证过）
keytool -import -alias client -trustcacerts -storepass tomcat -file client.crt -keystore servertrust.jks
重新拷贝信任密钥库文件servertrust.jks到tomcat配置文件指定的位置
六、安装客户端证书并修改tomcat配置
1、将p12格式的客户端证书导入浏览器（双击安装即可）
2、将tomcat SSL配置部分clientAuth值改为”true”。
3、实现SSL双向认证
由于这里的证书均是自己生成的，所以浏览器会提示证书错误类的字样属于正常现象。
Original: https://www.cnblogs.com/Before/p/4244167.html
Author: lzc_jack
Title: Tomcat 实现双向SSL认证
原创文章受到原创版权保护。转载请注明出处：https://www.johngo689.com/612371/
转载文章受原作者版权保护。转载请注明原作者出处！