Tomcat 使用 Java 密钥库（JKS 或 PKCS12）配置 HTTPS。拿到证书压缩包后，需要把服务器证书、中间证书和私钥转换为 Tomcat 可识别的密钥库格式，再修改 conf/server.xml 中的 Connector 配置。操作前建议备份原配置和旧证书。
配置步骤
- 下载证书文件，确认域名、证书链和私钥匹配。
- 使用 Keytool 或 OpenSSL 将证书与私钥转换为 JKS/PKCS12，设置并记录密钥库密码。
- 找到 Tomcat 安装目录下的
conf/server.xml，定位 8443 或 443 的 Connector。 - 配置
keystoreFile、keystorePass、port等参数，证书链不完整时补充keystoreType和中间证书。 - 保存后重启 Tomcat，用浏览器和
curl检查证书链与 HTTPS 访问。
Tomcat 与 Nginx 共存
如果前端使用 Nginx 反向代理 Tomcat，通常只需在 Nginx 配置证书和私钥，Tomcat 继续处理 HTTP 请求。此时要让 Nginx 正确传递 Host、X-Forwarded-Proto 等头信息，避免应用生成错误的跳转地址。若只在 Tomcat 配置不成功，应先检查端口占用、证书密码和证书链，而不是直接修改应用代码。
常见问题
证书密码错误、JKS 中缺少中间证书、域名与证书不匹配、服务器时间偏差都可能导致 HTTPS 失败。修改配置后先查看 Tomcat 日志，确认 Connector 是否启动成功，再逐步排查客户端提示。