WebLogic服务器安装SSL证书的方法
WebLogic服务器支持标准JKS格式SSL证书，需通过管理控制台配置密钥库与SSL监听器。部署过程不依赖命令行，但对证书路径、别名、密码一致性要求严格，任何一项错误都将导致HTTPS服务启动失败或浏览器提示“NET::ERR_CERT_INVALID”。生产环境中建议在非高峰时段操作并备份原配置。
WebLogic SSL证书部署核心机制
JKS密钥库是唯一受信载体
WebLogic仅原生支持Java KeyStore（JKS）格式证书，不直接识别PEM、PFX等常见格式。若收到的是Apache或Nginx格式证书，必须使用keytool或OpenSSL转换为JKS，并确保私钥别名与证书链完整导入。我们曾遇到某政务系统因未导入中间证书，导致Chrome 112+版本拒绝建立TLS连接——该问题在WebLogic日志中仅显示“SSL handshake failed”，无明确链路提示。
SSL监听器绑定依赖两级配置
WebLogic的HTTPS启用需同时配置“SSL监听端口”与“SSL协议参数”。仅开启7002端口无法生效；必须在“SSL”页签中指定私钥别名（如默认为1）、密钥密码，并勾选“客户端证书认证”开关（即使不启用双向认证）。特别注意：WebLogic 12.2.1.4+版本默认禁用TLS 1.0，若业务仍需兼容老旧IoT设备，须手动在SSL高级设置中启用TLS 1.1。
证书链完整性决定浏览器信任状态
WebLogic不自动拼接证书链，必须将根证书、中间证书、域名证书按顺序导入同一JKS文件。常见错误是仅导入域名证书，导致移动端Safari或部分国产浏览器显示“此网站使用无效的安全证书”。推荐使用SSL证书链下载工具获取权威CA完整链路，再通过keytool -importcert命令逐级导入。
WebLogic SSL证书部署实操步骤
以WebLogic 14.1.1和华测CA颁发的JKS证书为例：
- 登录Admin Console → 域结构 → 服务器 → AdminServer → 配置 → 常规 → 启用“SSL监听端口”，端口设为443
- 切换至“密钥库”页签 → 类型选“Custom Identity and Java Standard Trust” → 指定JKS路径（如C:/weblogic/certs/cti.jks）→ 输入密钥库密码
- 进入“SSL”页签 → “标识和信任位置”选“Key Store” → 私钥别名填证书中实际值（可用keytool -list -v -keystore cti.jks查看）→ 输入私钥密码
- 点击“保存”后，系统自动激活变更，无需重启AdminServer（但托管服务器需重启）
典型故障与工程应对经验
| 故障现象 | 参考标准 | TopSSL专家建议 |
|---|---|---|
| ERR_SSL_VERSION_OR_CIPHER_MISMATCH | WebLogic 12c默认TLS策略 | 检查SSL页签中“高级”里的“最低TLS版本”是否设为TLS 1.2；禁用弱加密套件（如TLS_RSA_WITH_AES_128_CBC_SHA） |
| 证书在Chrome显示“已过期”，但日期正确 | 系统时间同步规范 | WebLogic主机必须与NTP服务器同步；曾有客户因虚拟机时钟漂移3分钟，导致Let's Encrypt证书被拒 |
| HTTPS可访问但小锁图标为灰色 | 混合内容检测 | 检查页面资源是否含HTTP链接；WebLogic控制台本身不处理重写，需配合前端反向代理（如Nginx）注入Content-Security-Policy头 |
常见问题
Q：WebLogic能否使用通配符SSL证书？
A：可以，但需确保证书SAN字段包含所有子域名，且JKS导入时保留完整链。例如通配符SSL证书需覆盖*.api.example.com与*.admin.example.com。
Q：一个JKS文件能否部署多个域名证书？
A：不能。WebLogic每个SSL监听器仅绑定一个私钥别名。多域名场景应选用多域名证书（SAN），或通过虚拟主机+反向代理分流。
Q：证书续期后如何更新？
A：无需重新配置界面参数，只需替换JKS文件并重启托管服务器。关键动作是执行keytool -delete -alias old -keystore cti.jks清除旧别名，再导入新证书。
京公网安备11010502031690号
网站经营企业工商营业执照
