Tomcat服務器中帶有自簽名證書的可信SSL，無需在瀏覽器中導入證書

Question

我的應用程序在 tomcat 服務器的內部網中運行。 我可以使用 https 運行我的應用程序，但有警告（此網站提供的安全證書不是由受信任的證書頒發機構頒發），https 符號也被紅色交叉。
我們如何在 tomcat 服務器中使用自簽名證書信任 SSL，而無需在瀏覽器中導入證書？

Answer 1

我們如何在 tomcat 服務器中使用自簽名證書信任 SSL，而無需在瀏覽器中導入證書？

你不能。 默認情況下不信任自簽名（信任應該從哪里來？），因此您不能指望瀏覽器信任它而不告訴瀏覽器它可以信任它（通過導入）。 信任是一種關系，不能簡單地憑空出現。

Answer 2

警告指出證書有效但瀏覽器不信任頒發證書的機構。 唯一的方法是將瀏覽器配置為忽略不受信任的 CA 問題，或者在這種情況下信任組織。

或者，推薦的方法是從 CA 機構（Verisign、Godaddy 等）之一獲取證書。

Answer 3

在將網站/網址標記為安全之前，任何瀏覽器都會確認以下列表項：

1. 將基礎 DNS 與證書 CN 的基礎 DNS 匹配（請注意，在這種情況下不會出現端口號）。 例如，如果您正在訪問https://example.com:8445/something ，則證書 CN 應為“example.com”

2. 自簽名證書必須導入到系統的相應信任庫（根證書頒發機構）中。

3. 證書必須具有與 DNS 匹配的 SAN（主題備用名稱）。 對於前面的示例，證書必須至少具有一個等效於“example.com”的 SAN。 這是必須的，大多數人都忽略了這一點，無法理解為什么瀏覽器不信任證書。

為內部應用程序在瀏覽器中建立信任的免費方式現在，除非證書由 CA 簽署，否則無法滿足上述所有 3 個標准。 但是，有一個簡單的方法。 轉至https://freesslcert.org/以獲得包含上述所有標准的完全免費的 1 年證書。 按照https://freesslcert.org/trust-freesslcert-in-browser 中提到的步驟操作即可。

外部網站的付費解決方案您可以花一些錢從此處提到的 CA 之一獲取證書： https : //freesslcert.org/get-cert