Keytool
用JDK自带的keytool工具生成证书；如果以后真正在产品环境中使用肯定要去证书提供商去购买
Keytool 是一个Java数据证书的管理工具 ,Keytool将密钥（key）和证书（certificates）存在一个称为keystore的文件中在keystore里，包含两种数据:密钥实体（Key entity）-密钥（secret key）或者是私钥和配对公钥（采用非对称加密）可信任的证书实体（trusted certificate entries）-只包含公钥.
JDK中keytool常用参数说明（不同版本有差异，可参见官方文档）:
使用keytool命令生成证书：
• -genkey 在用户主目录中创建一个默认文件”.keystore”,还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书(在没有指定生成位置的情况下,keystore会存在用户系统默认目录)
注：-genkey可以写成-genkeypair
• -alias 产生别名 每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写
• -keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中)
• -keyalg 指定密钥的算法 (如 RSA DSA，默认值为：DSA)
• -validity 指定创建的证书有效期多少天(默认 90)
• -keysize 指定密钥长度 （默认 1024）
• -storepass 指定密钥库的密码(获取keystore信息所需的密码)
• -keypass 指定别名条目的密码(私钥的密码)
• -dname 指定证书发行者信息 其中： “CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名 称,ST=州或省份名称,C=单位的两字母国家代码”
• -list 显示密钥库中的证书信息 keytool -list -v -keystore 指定keystore -storepass 密码
• -v 显示密钥库中的证书详细信息
• -export 将别名指定的证书导出到文件 keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码
• -file 参数指定导出到文件的文件名
• -delete 删除密钥库中某条目 keytool -delete -alias 指定需删除的别 -keystore 指定keystore – storepass 密码
• -printcert 查看导出的证书信息 keytool -printcert -file g:\sso\michael.crt
• -keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new 新密码 -storepass keystore密码 -keystore sage
• -storepasswd 修改keystore口令 keytool -storepasswd -keystore g:\sso\michael.keystore(需修改口令的keystore) -storepass pwdold(原始密码) -new pwdnew(新密码)
• -import 将已签名数字证书导入密钥库 keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证书
• dname的值详解：
CN(Common Name名字与姓氏)
OU(Organization Unit组织单位名称)
O(Organization组织名称)
L(Locality城市或区域名称)
ST(State州或省份名称)
C(Country国家名称）
第一步：为服务器生成证书
命令：
keytool -genkey -alias test -keypass 123456 -keyalg RSA -keysize 1024
-validity 3650 -keystore D:/keys/test.keystore -storepass 123456
标红为域名（重要）
可以一步到位：
第二步：为客户端生成证书keytool -genkey -alias test -keypass 123456 -dname
“CN=www.test.com,OU=LIULI,O=LIULI,L=BJ,ST=BJ,C=CN” -keyalg RSA
-keysize 1024 -validity 3650 -keystore D:\keys\test.keystore -storepass 123456
keytool -genkey -alias client -keypass 123456 -keyalg RSA -keysize
1024 -validity 3650 -storetype PKCS12 -keystore D:/keys/client.p12
-storepass 123456
标红为域名（重要）
可以一步到位：
第三步：让服务器信任客户端证书keytool -genkey -alias client -keypass 123456 -dname
“CN=www.test.com,OU=LIULI,O=LIULI,L=BJ,ST=BJ,C=CN” -keyalg RSA
-keysize 1024 -validity 3650 -keystore D:/keys/client.p12 -storepass 123456
- 把客户端证书导出为一个单独的CER文件
keytool -export -alias client -keystore D:/keys/client.p12 -storetype
PKCS12 -keypass 123456 -file D:/keys/client.cer
2. 将该文件导入到服务器的证书库，添加为一个信任证书：
keytool -import -v -file D:/keys/client.cer -keystore
D:/keys/test.keystore
由于是双向SSL认证，客户端也要验证服务器证书
keytool -keystore D:/keys/test.keystore -export -alias test -file
D:/keys/server.cer
双击server.cer文件，按照提示安装证书，将证书填入到“受信任的根证书颁发机构”。
填入方法：
打开浏览器 - 工具 - internet选项-内容- 证书-把中级证书颁发机构里的www.test.com(该名称即时你前面生成证书时填写的名字与姓氏)证书导出来-再把导出来的证书导入 受信任的根颁发机构
第五步：密钥库文件接下来就是把上面生成的服务器的证书server.cer导入到cacerts密钥库文件中(后面的客户端会用到这些)
keytool -import -trustcacerts -alias test -storepass 123456 -file
D:/keys/server.cer -keystore D:/keys/cacerts
<Connector port="8443"
protocol="org.apache.coyote.http11.Http11NioProtocol" SSLEnabled="true"
maxThreads="150"
scheme="https"
secure="true"
clientAuth="true"
sslProtocol="TLS"
keystoreFile="D:/keys/tomcat.keystore"
keystorePass="123456"
truststoreFile="D:/keys/tomcat.keystore"
truststorePass="123456" />
属性说明： clientAuth:设置是否双向验证，默认为false，设置为true代表双向验证
keystoreFile:服务器证书文件路径 keystorePass:服务器证书密码
truststoreFile:用来验证客户端证书的根证书，此例中就是服务器证书 truststorePass:根证书密码 注意： ①
设置clientAuth属性为True时，需要手动导入客户端证书才能访问。
