阿里云 Java 虚拟主机index.jsp 跳转到根目录怎么做_Tomcat加载阿里云免费证书与301跳转配置
Java 主机启用 HTTPS 并把 HTTP 流量 301 到 HTTPS，是站点上线前必须走完的一步。Tomcat 容器加载 阿里云免费证书 后，80 端口的请求要统一跳到 443，避免同一页面出现 HTTP 与 HTTPS 两个版本分散权重。
把 阿里云免费证书 转成 Tomcat 能识别的格式，PFX 直接用 keytool 导入 JKS，PEM 先用 OpenSSL 合成 PFX 再导入。密钥库文件放在 conf 目录下，文件权限设为 600，防止被其他用户读取。
配置参考（web.xml 强制 HTTPS）：
```
Tomcat 的 443 Connector 配置要点：SSLEnabled="true"，scheme="https"，secure="true"，keystoreFile 与 keystorePass 正确填写。80 端口 Connector 保留并加 redirectPort="443"，配合 web.xml 的 security-constraint 实现强制 HTTPS。
强制 HTTPS 的第二种做法是在 Tomcat 前端用 Nginx：server 监听 80，return 301 https://$host$request_uri；443 的 server 里配 ssl_certificate 与 ssl_certificate_key，再 proxy_pass 到 Tomcat 的 8080。这种方式证书管理集中，性能也更好。
常见坑：证书链不完整。排查顺序是先看容器日志，再看证书链，再看端口与安全组。443 端口在云服务器安全组、系统防火墙、容器监听三处都要放行，少一处都连不上。证书密码含特殊字符要在 server.xml 里用 & 转义。
证书到期前 15 天续签，续签后替换 JKS 文件并重启 Tomcat。监控脚本每天 curl 一次 443，证书剩余天数小于 15 就告警。HTTPS 站点一旦证书过期，浏览器拦截、百度降权，恢复需要时间，提前监控成本最低。
更新时间：2026-08-27 00:02:33