1. 为什么需要Spring Boot应用国密化最近几年国密算法在金融、政务等领域越来越受重视。简单来说国密算法就是我国自主研发的一套密码学标准包括SM2非对称加密、SM3哈希算法、SM4对称加密等。相比国际通用的RSA、AES等算法国密算法在安全性、性能上都有独特优势。在实际项目中我们经常遇到这样的需求Spring Boot应用需要部署在支持国密算法的环境中但又不希望改动原有代码逻辑。这时候基于嵌入式Tomcat-GmSSL的方案就派上用场了。它最大的好处是零侵入——你不需要把项目改成War包部署到外部Tomcat也不需要重写业务逻辑只需要调整几个配置就能让内置的Tomcat支持国密HTTPS。我去年接手的一个银行项目就遇到类似场景。客户要求所有通信必须走国密SSL但项目已经用Spring Boot开发了大半年。如果按传统方案改成外置Tomcat部署不仅测试周期长还可能引入兼容性问题。最后我们用了嵌入式Tomcat-GmSSL方案只花了2天就完成了改造关键是不用动一行业务代码。2. 环境准备与依赖配置2.1 基础环境要求先确认你的开发环境满足以下条件JDK 1.8目前GmSSL对高版本JDK支持有限实测JDK 17会报错Spring Boot 2.7.x与Tomcat 8.5/9.0兼容性最好Maven 3.6特别提醒JDK的安全策略需要改为无限制。找到$JAVA_HOME/jre/lib/security/java.security文件确认这行配置crypto.policyunlimited2.2 关键依赖替换Spring Boot默认的tomcat-embed-core不支持国密需要用定制版替换。推荐使用GitHub上star较多的tomcat-embed-gmssldependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId exclusions !-- 排除自带的tomcat -- exclusion groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-tomcat/artifactId /exclusion /exclusions /dependency !-- 引入国密版tomcat -- dependency groupIdcc.kkon/groupId artifactIdtomcat-embed-gmssl/artifactId version9.0.63.x.6/version /dependency踩坑提醒有些项目可能引用了spring-boot-starter-tomcat间接依赖建议用mvn dependency:tree检查确保所有tomcat依赖都被替换。3. 国密证书准备3.1 证书获取方式国密SSL需要SM2格式的证书有三种获取途径测试证书从国密实验室网站gmssl.cn申请免费测试证书自签名证书用OpenSSL-GmSSL工具链生成商业证书向沃通等CA机构购买以测试证书为例下载后会得到一个PFX文件如sm2.both.pfx包含签名证书和加密证书默认密码通常是12345678。3.2 证书放置位置建议把证书放在resources目录下src/main/resources/certs/sm2.both.pfx生产环境建议将证书放在外部目录通过绝对路径引用方便轮换。比如/etc/ssl/certs/your_domain/sm2.both.pfx4. Spring Boot配置实战4.1 YAML基础配置在application.yml中添加server: port: 8443 ssl: enabled: true key-store: classpath:certs/sm2.both.pfx key-store-type: PKCS12 key-store-password: 12345678 protocol: GMSSLv1.14.2 Java代码进阶配置如果需要更灵活的配置比如多端口监听可以自定义WebServerFactoryConfiguration public class GmSSLConfig { Value(${server.ssl.key-store}) private String keyStorePath; Value(${server.ssl.key-store-password}) private String keyStorePassword; Bean public TomcatServletWebServerFactory servletContainer() { TomcatServletWebServerFactory factory new TomcatServletWebServerFactory(); Connector connector new Connector(HTTP/1.1); connector.setPort(8080); // 国密HTTPS连接器 Connector gmsslConnector new Connector(); gmsslConnector.setPort(8443); gmsslConnector.setSecure(true); gmsslConnector.setScheme(https); gmsslConnector.setProperty(SSLEnabled, true); gmsslConnector.setProperty(sslImplementationName, cn.gmssl.tomcat.GMSSLImplementation); gmsslConnector.setProperty(keystoreFile, ResourceUtils.getFile(keyStorePath).getAbsolutePath()); gmsslConnector.setProperty(keystorePass, keyStorePassword); gmsslConnector.setProperty(keystoreType, PKCS12); gmsslConnector.setProperty(sslProtocol, GMSSLv1.1); factory.addAdditionalTomcatConnectors(gmsslConnector); return factory; } }这段代码实现了8080端口提供HTTP服务8443端口提供国密HTTPS服务通过GMSSLImplementation指定国密实现5. 常见问题排查5.1 启动时报ClassNotFound如果看到cn.gmssl.tomcat.GMSSLImplementation not found通常是依赖冲突导致。检查是否完全排除了spring-boot-starter-tomcat是否有多版本tomcat-embed-core共存解决方法dependency groupIdcc.kkon/groupId artifactIdtomcat-embed-gmssl/artifactId version9.0.63.x.6/version exclusions exclusion groupIdorg.apache.tomcat/groupId artifactIdtomcat-annotations-api/artifactId /exclusion /exclusions /dependency5.2 浏览器访问报错国密HTTPS需要支持国密的浏览器推荐奇安信可信浏览器红莲花浏览器360安全浏览器需开启国密支持如果遇到ERR_SSL_VERSION_OR_CIPHER_MISMATCH检查证书密码是否正确是否使用了支持国密的浏览器服务端是否真的启用了GMSSLv1.1协议5.3 性能调优建议国密算法相比RSA有性能优势但在高并发场景下仍需优化gmsslConnector.setProperty(maxThreads, 200); gmsslConnector.setProperty(acceptCount, 100); gmsslConnector.setProperty(connectionTimeout, 20000);6. 生产环境注意事项证书管理正式环境务必使用正规CA签发的证书测试证书不要上线双栈部署同时部署国密证书和国际证书兼容所有客户端密钥保护证书文件权限设为600仅允许应用用户读取监控指标关注tomcat.threads.busy和tomcat.ssl.handshake.time等指标我在金融项目中的实际经验是国密SSL的单向认证握手时间比RSA快约15%但在ARM服务器上的优势更明显能达到30%的性能提升。不过具体效果还是建议用JMeter等工具做压测验证。