1 <?xml version=‘1.0‘ encoding=‘utf-8‘?>
 2 <Server port="8005" shutdown="SHUTDOWN">
 3   <Service name="Catalina">
 4     <Connector port="8080" protocol="HTTP/1.1"
 5                connectionTimeout="20000"
 6                redirectPort="8443" />
 7     <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
 8                maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
 9                clientAuth="false" sslProtocol="TLS" 
10                keystoreFile="conf/.keystore" keystorePass="123456"/>
11     <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />
12     <Engine name="Catalina" defaultHost="localhost">
13 
14       <Host name="localhost"  appBase="webapps"
15             unpackWARs="true" autoDeploy="true">
16         <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
17                prefix="localhost_access_log." suffix=".txt"
18                pattern="%h %l %u %t &quot;%r&quot; %s %b" />
19       </Host>
20       <Host name="www.gacl.cn" appBase="F:\JavaWebApps">
21         <Context path="" docBase="F:\JavaWebApps\JavaWebDemo1"/>
22       </Host>
23 
24     </Engine>
25   </Service>
26 </Server>

1  <Connector port="8080" protocol="HTTP/1.1"
2                connectionTimeout="20000"
3                redirectPort="8443" />

　　发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。

　　非对称性加密依然没有解决数据传输的安全性问题，比如A想向B发数据，B首先生成一对密钥(公钥和私钥)，然后将公钥发给A，A拿到B发给他的公钥有就可以使用公钥加密数据后发给B，然而在B公钥发送给A的这个过程中，很有可能会被第三方C截获，C截获到B的公钥后，也使用B的公钥加密数据，然后发给B，B接收到数据后就晕了，因为搞不清楚接收到的数据到底是A发的还是C发的，这是其中一个问题，另一个问题就是，C截获到B发的公钥后，C可以自己生成一对密钥(公钥和私钥)，然后发给A，A拿到公钥后就以为是B发给他的，然后就使用公钥加密数据发给B，发送给B的过程中被C截获下来，由于A是用C发给他的公钥加密数据的，而C有私钥，因此就可以解密A加密过后的内容了，而B接收到A发给他的数据后反而解不开了，因为数据是用C的公钥加密的，B没有C的私钥，所以就无法解密。所以，非对称性加密存在一个问题：A想向B发数据，A如何确定拿到的公钥一定是B发的呢？那么如何解决这个问题呢？只能靠一个第三方机构(CA机构，即证书授权中心(Certificate Authority )，或称证书授权机构)来担保。A想向B发数据，B首先将公钥发给CA机构，CA机构拿到B的公钥后跑到B的家里问：这是你发的公钥吗？B确认过后说是：没错，是我发的！那么此时CA机构就会为B的公钥做担保，生成一份数字证书给B，数字证书包含了CA的担保认证签名和B的公钥，B拿到CA的这份数字证书后，就发给A，A拿到数字证书后，看到上面有CA的签名，就可以确定当前拿到的公钥是B发的，那么就可以放心大胆地使用公钥加密数据，然后发给B了。

四、https连接器

　　明白了互联网上的加密原理之后，下面来看看浏览器与服务器交互时，浏览器想将数据加密后再发送给服务器，那么该怎么做呢？服务器首先要向浏览器出示一份数字证书，浏览器看到数字证书后，就可以使用数字证书里面的公钥加密数据，所以要想做浏览器和服务器的加密数据传输，那么首先得针对服务器生成一份数字证书。然后再配置一下服务器，让服务器收到浏览器的请求之后，会向浏览器出示它的数字证书。

4.1、生成Tomcat服务器的数字证书

　　SUN公司提供了制作证书的工具keytool， 在JDK 1.4以后的版本中都包含了这一工具，它的位置为<JAVA_HOME>\bin\keytool.exe

1 keytool -genkey -alias tomcat -keyalg RSA

 使用keytool生成一个名字为tomcat的证书，存放在.keystore这个密钥库中

命令执行完之后，操作系统的用户文件夹下面就会生成一个.keystore文件，如下图所示：

使用命令：keytool -list -keystore .keystore查看.keystore密钥库里面的所有证书

4.2、配置https连接器

　　将生成的.keystore密钥库文件拷贝到Tomcat服务器的conf目录下，如下图所示：

　　修改server.xml文件，配置https连接器，代码如下：

1  <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
2                maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
3                clientAuth="false" sslProtocol="TLS" 
4                keystoreFile="conf/.keystore" keystorePass="123456"/>

　　在server.xml文件中配置了一个端口是8443的加密连接器，浏览器访问8443端口的连接器时，将会以加密的方式来访问web服务器，这个连接器收到浏览器的请求后，将会向浏览器出示一份数字证书，浏览器再用数字证书里面的公钥来加密数据，keystoreFile="conf/.keystore" 用来指明密钥库文件的所在路径，服务器从密钥库中提取证书时需要密码，keystorePass="123456"指明密钥库的访问密码。

　　使用"https://localhost:8443/"访问8443的加密连接器

　　由于密钥库里面的证书是我们手工生成的，没有经过CA的认证，所以使用"https://localhost:8443/"访问8443的加密连接器，浏览器会出现"证书错误，导航已阻止"，浏览器认为当前要访问的这个主机是不安全的，不推荐继续访问，点击就可以继续访问了，如下图所示：

4.3、安装数字证书

　　为了让浏览器信任我们生成的数字证书，需要将数字证书安装到浏览器中，以IE8浏览器为例进行证书安装说明，安装步骤如下：

　　证书安装成功后，重启IE浏览器，使用"https://localhost:8443/"访问8443的加密连接器，此时浏览器就不再提示证书错误了，如下图所示：

 4.4、删除数字证书

　　以IE8为例进行说明，操作步骤如下：工具----->Internet选项

　　删除之后重启浏览器即可