HTTPS（Hyper Text Transfer Protocol Secure）是HTTP的安全版本，通過SSL/TLS協議為通訊提供加密、身份驗證和數據完整性保護。

一、HTTPS核心原理

1.加密流程概述

1. 客戶端發起HTTPS請求（連接到服務器443端口）
2. 服務器返回數字證書（包含公鑰）
3. 客戶端驗證證書（檢查頒發機構、有效期等）
4. 密鑰交換（對過非對稱加密協商對稱密鑰）
5. 加密通信（使用對稱密鑰加密數據傳輸）

2.加密技術組合

技術類型	作用	典型算法
非對稱加密	身份驗證和密鑰交換	RSA、ECC、DH
對稱加密	加密實際傳輸數據	AES、3DES、ChaCha20
哈希算法	保證數據完整性	SHA-256、SHA-3
數字證書	驗證服務器身份	X.509標準

二、證書體系詳解

1、證書類型對比

類型	驗證級別	頒發速度	價格	適用場景
DV證書	域名驗證	分鐘級	免費-低價	個人網站、測試環境
OV證書	組織驗證	1-3天	中檔	企業官網
EV證書	擴展驗證	3-7天	高價	金融、電商等高安全需求
自簽名證書	無第三方驗證	即時	免費	內網、開發環境

2. 證書獲取方式

1. 購買商業證書（推薦生產環境使用）
   • 主流CA機構：DigiCert、Sectigo、GlobalSign
   • 云服務商提供：AWS ACM、阿里云SSL證書
2. 免費證書（適合中小項目）
   • Let’s Encrypt（90天有效期，需自動續期）
   • Cloudflare提供的邊緣證書
3. 自簽名證書（開發測試用）

# 使用OpenSSL生成
openssl req -x509 -newkey rsa:4096 -nodes \-keyout server.key -out server.crt \-days 365 -subj "/CN=yourdomain.com"

三、Spring Boot配置HTTPS

1. 基礎配置步驟

1.1 準備證書文件

將證書（.crt或.pem）和私鑰（.key）文件放入resources/ssl/目錄

1.2 配置application.yml

server:port: 443ssl:enabled: truekey-store: classpath:ssl/keystore.p12key-store-password: yourpasswordkey-store-type: PKCS12key-alias: tomcatprotocol: TLSenabled-protocols: TLSv1.2,TLSv1.3ciphers: TLS_AES_256_GCM_SHA384,TLS_CHACHA20_POLY1305_SHA256...

1.3 強制HTTP跳轉HTTPS（可選）

@Configuration
public class HttpsConfig {@Beanpublic ServletWebServerFactory servletContainer() {TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() {@Overrideprotected void postProcessContext(Context context) {SecurityConstraint securityConstraint = new SecurityConstraint();securityConstraint.setUserConstraint("CONFIDENTIAL");SecurityCollection collection = new SecurityCollection();collection.addPattern("/*");securityConstraint.addCollection(collection);context.addConstraint(securityConstraint);}};tomcat.addAdditionalTomcatConnectors(redirectConnector());return tomcat;}private Connector redirectConnector() {Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");connector.setScheme("http");connector.setPort(8080);connector.setSecure(false);connector.setRedirectPort(443);return connector;}
}

2. 高級安全配置

2.1 啟用HSTS

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity http) throws Exception {http.headers().httpStrictTransportSecurity().includeSubDomains(true).maxAgeInSeconds(31536000); // 1年}
}

2.2 證書自動續期（Let’s Encrypt）

@Scheduled(cron = "0 0 3 * * ?") // 每天凌晨3點檢查
public void renewCertificate() {try {Process process = Runtime.getRuntime().exec("certbot renew --quiet");int exitCode = process.waitFor();if (exitCode == 0) {logger.info("證書續期成功");// 重新加載證書((TomcatWebServer) webServer).getTomcat().getConnector().reload();}} catch (Exception e) {logger.error("證書續期失敗", e);}
}

四、HTTPS性能優化

1. 協議與算法選擇

server:ssl:enabled-protocols: TLSv1.3 # 優先使用TLS 1.3ciphers: - TLS_AES_256_GCM_SHA384       # TLS 1.3- TLS_CHACHA20_POLY1305_SHA256 # 移動設備優化- TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

2. 會話恢復技術

@Bean
public WebServerFactoryCustomizer<TomcatServletWebServerFactory> tomcatCustomizer() {return factory -> factory.addConnectorCustomizers(connector -> {connector.setProperty("sslEnabledProtocols", "TLSv1.2,TLSv1.3");connector.setProperty("sslSessionTimeout", "3600"); // 1小時會話緩存connector.setProperty("sslSessionCacheSize", "20480"); // 緩存大小});
}

3. OCSP Stapling配置

# 生成OCSP響應文件
openssl ocsp -issuer chain.pem -cert server.crt \-url http://ocsp.digicert.com -respout ocsp.der# Nginx配置示例（Spring Boot需通過前置代理實現）
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/chain.pem;

五、常見問題排查

1. 證書鏈不完整

癥狀：瀏覽器顯示"證書不受信任"
解決：確保包含中間證書

cat server.crt intermediate.crt > fullchain.crt

2. 混合內容警告

癥狀：HTTPS頁面加載HTTP資源
解決：

• 使用內容安全策略(CSP)

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

• 或使用協議相對URL：//example.com/resource.js

3. SSL握手失敗

診斷命令：

openssl s_client -connect example.com:443 -servername example.com -tlsextdebug -showcerts

六、安全加固建議

1. 禁用弱協議和算法

   server:ssl:enabled-protocols: TLSv1.2,TLSv1.3ciphers: "HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK"
   

2. 啟用證書透明度(CT)

   @Bean
   public WebServerFactoryCustomizer<TomcatServletWebServerFactory> ctEnforcer() {return factory -> factory.addContextCustomizers(context -> {context.addParameter("certificateTransparency", "true");});
   }
   

3. 定期輪換密鑰

   # 生成新密鑰對
   openssl ecparam -genkey -name prime256v1 -out newkey.pem