WebLogic11g-单双向SSL配置

2、观察weblogic方便开发部署提供的演示秘钥库 
（秘钥库位置为：\weblogic11\wlserver_10.3\server\lib） 

3、观察ssl的默认演示配置 


那么在开发过程中，只需要在第一幅图上勾选“启用ssl监听端口”即可。 

正式环境中，有哪些变化呢？主要就是更改上面2、3图中的配置，改为实际的秘钥库、以及根据实际的秘钥库来配置SSL。 
网上可以搜到很多weblogic配置ssl相关资料，但是很多配置在实际环境中，都是跑不起来的。究其原因，有两点（1、需要去ca认证中心对产生的证书请求进行签证；2、更有甚者，直接使用keytool来制作，压根没提签证这回事）。weblogic配置ssl，需要标识（私钥和数字证书）、信任（可信证书颁发机构颁发的证书），所以光通过产生私钥直接配置肯定是不行的。 
下面是具体的步骤： 

1、下载openssl工具 
这里使用openssl工具来制作这些秘钥、ca根证书等等。 
openssl的windows安装文件放在网盘中，如果有需要随时下载。网盘地址为： 
http://pan.baidu.com/share/link?shareid=421723979&uk=3222190371 
我的安装路径为：D:\work\OpenSSL 
安装之后，打开cmd进入到bin目录下，即D:\work\OpenSSL\bin。开始制作根证书、秘钥等。 

2、制作CA根证书 


3、通过keytool工具产生秘钥、及证书请求文件，然后使用openssl上一步产生的ca根证书对证书请求进行签证，并且 

这一步会产生两个秘钥库文件：example.jks、exampletrust.jks在ssl的配置中使用到。先把这两个文件复制到如下位置： 
weblogic11\user_projects\domains\example\ 
即域的根目录下。 

4、秘钥库配置： 
启动domain并登录weblogic控制台，进入如图所示页面： 

点击更改按钮，如下图所示： 

默认是“演示标识和演示信任”，这里选择“定制标识和定制信任”并保存。 
继续配置如下图所示的“标识、信任”， 

由于之前制作秘钥的时候，密码统一为123456，这里可直接按照图中配置即可。密码部分全部输入123456，记得点击“保存”按钮。 
注意：秘钥库类型为空，则表示使用默认的jks类型。 

5、ssl配置： 
选择ssl面板，如下图所示： 

输入私有秘钥别名及私有秘钥密码（这里就是example.jks的相关信息，名称为example，密码为123456） 
输入完成，记得保存。 

至此，单向SSL配置完毕。大家可以把第二篇介绍的springside3的mini-web例子放在上面跑，使用https://localhost:7002/mini-web的url访问，如果按照上面步骤，应该不会有问题。或者直接使用https://localhost:7002/console来访问控制台进行测试。 

双向SSL，在weblogic的配置方面，只需要修改下图的配置即可： 
还是刚才的ssl配置界面，点击下面的高级链接： 

找到“双向客户机证书行为”，选择“请求客户机证书并强制使用”表示如果使用https访问应用时，必须强制客户端浏览器提供证书。 

修改完成，点击保存即可。 

下面是springside3（mini-web）整合ssl时需要修改的配置： 
修改文件：applicationContext-security.xml，如下： 

以上仅增加了x509的配置即可。注意后面的subject-principal-regex视具体情况而定。默认的是【CN=(.*?),】，而我这里配置的是【CN=(.*?)$】这么改的原因是由于我这边的客户端证书主题标识CN放在最后了，如：【C=CN, ST=AH, L=HF, O=CAROOT, OU=CA, CN=admin】，所以subject-principal-regex就是用来如何匹配CN值的正则表达式。 

现在weblogic已经支持双向ssl认证了，spring security也增加ssl认证的配置了，现在就缺少客户端证书了，不急，下面继续使用openssl来制作客户端证书 

需要把最后增加证书的信任秘钥库exampletrust.jks重新复制到domain目录下。 

接下来，双击刚才生成的p12文件，将用户证书安装到浏览器的证书库中，步骤就不说了。 
现在重新启动weblogic的domain，访问https://localhost:7002/mini-web，出现如下图所示界面： 

由于user证书已经安装到浏览器的证书库中了，当访问mini-web时，弹出确认证书窗口 
 
确定之后，需要授予权限，并且输入授权的密码。点击确定按钮之后，直接由spring security根据证书的CN标识完成自动登录，并授予权限，如下图所示： 


至此，weblogic的ssl（单向、双向）总算梳理完毕。不足的地方，还有待补充。