Spring Boot生产环境HTTPS配置需四层叠加：启用TLS证书（PKCS12格式+环境变量管理密码）、HTTP自动重定向至HTTPS、注入HSTS等安全响应头、集成JWT认证与角色权限控制，缺一不可。
在 Spring Boot 生产环境中配置安全连接，核心是启用 HTTPS 并强制加密通信，同时配合 TLS 传输层保护和细粒度访问控制。这不是加几个配置就能完事的，关键在于结构化落地：证书管理、端口与重定向、安全头加固、认证授权闭环。
启用 HTTPS 并配置 SSL 证书
生产环境必须使用 HTTPS，不能依赖反向代理（如 Nginx）单独处理——Spring Boot 应用自身需具备 TLS 能力，确保端到端加密。
- 将证书转换为 Java 可识别的 PKCS12 格式（如使用 Let's Encrypt 的证书）：
openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out keystore.p12 -name tomcat -password pass:your-keystore-pass - 在 application-prod.yml 中配置：
server:
port: 8443
ssl:
key-store: classpath:keystore.p12
key-store-password: ${KEYSTORE_PASSWORD}
key-store-type: PKCS12
key-alias: tomcat
key-password: ${KEY_PASSWORD}
注意：密钥密码和密钥库密码应通过环境变量注入，禁止硬编码。
强制 HTTP 重定向到 HTTPS
避免用户误用 HTTP 访问，需在应用层拦截并跳转。Spring Boot 本身不内置重定向逻辑，需手动配置嵌入式容器（如 Tomcat）。
- 在配置类中添加重定向器 Bean：
@Bean
public ServletWebServerFactory servletContainer() {
TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory();
tomcat.addAdditionalTomcatConnectors(redirectConnector());
return tomcat;
}
private Connector redirectConnector() {
Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
connector.setScheme("http");
connector.setPort(8080);
connector.setSecure(false);
connector.setRedirectPort(8443);
return connector;
}
这样，访问 8080 端口的 HTTP 请求会自动 301 重定向至 8443 的 HTTPS。
注入关键安全响应头
防御常见 Web 攻击，需通过 Spring Security 添加标准化安全头：
- 启用默认安全头（含 X-Content-Type-Options、X-Frame-Options、Strict-Transport-Security 等）；
- 显式关闭开发相关头（如 X-Powered-By）；
- HSTS 头建议设置 max-age=31536000（1年），并包含 includeSubDomains 和 preload（若计划提交至 HSTS 预加载列表）。
示例配置片段：
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http.headers()
.contentSecurityPolicy("default-src 'self'")
.and()
.hsts(h -> h.maxAgeInSeconds(31536000).includeSubdomains(true));
return http.build();
}
集成认证与传输层双重防护
HTTPS 解决了传输加密，但还需保障接口调用身份可信：
- 对 API 接口启用 JWT 认证，禁用表单登录（/login）等非 API 场景；
- 资源服务器配置 issuer 和 jwk-set-uri，确保 token 由可信授权服务签发；
- 敏感操作（如 /api/admin/**）绑定 ADMIN 角色，普通用户路径（如 /api/user/**）限制角色范围；
- 若对接 gRPC 服务，需额外配置 TLS 客户端信任链（如加载 trust-cert.pem），与 HTTP 层安全形成互补。
安全连接不是“开了 HTTPS 就万事大吉”，而是从证书、重定向、响应头、认证四层叠加，每层都不可省略。
