微服务架构中ssl证书应统一在入口网关层（如nginx、spring cloud gateway）做tls终止，而非每个微服务单独配置；因内网通信无需https，可简化管理、降低运维成本、避免证书轮换风险与加解密开销。
微服务架构里配 SSL 证书，核心原则是：**不建议每个微服务单独配 HTTPS，而应统一在入口网关层（如 Nginx、Spring Cloud Gateway）做 TLS 终止**。这样既简化管理、降低运维成本，又避免重复配置和证书轮换风险。
为什么不在每个微服务上直接配 SSL？
微服务间通信通常走内网（如 Kubernetes ClusterIP 或私有网络），明文 HTTP 安全且高效；若强行每个服务都启用 HTTPS：
- 证书管理爆炸式增长（10 个服务 = 10 套证书+密钥+续期脚本）
- Java/Go 等服务需额外加载 keystore、配置 SSLContext，增加启动复杂度
- 内部调用加解密开销无实际安全收益（内网已隔离）
- 证书过期或配置错误容易导致整条链路中断，排查困难
推荐方案：Nginx / API 网关统一终止 HTTPS
这是生产环境最主流、最稳妥的做法。以 Nginx 为例：
- 所有外部请求走 443 端口 HTTPS，由 Nginx 解密后，以 HTTP（或内部 mTLS）转发给后端微服务
- Nginx 配置只需维护一套证书（
fullchain.pem+privkey.pem） - 支持 HSTS、OCSP Stapling、TLS 1.2/1.3、会话复用等安全增强项
- 若需更高安全等级（如金融场景），可在网关与微服务之间启用双向 TLS（mTLS）
若必须在 Java 微服务中启用 HTTPS（如独立暴露）
仅适用于调试、边缘服务或特殊合规要求场景，操作步骤如下：
- 将 PEM 格式证书+私钥转为 Java 可用的 PKCS#12 密钥库：
openssl pkcs12 -export -in server.crt -inkey server.key -out keystore.p12 -name myservice - Spring Boot 中配置：
server.port=8443server.ssl.key-store=classpath:keystore.p12server.ssl.key-store-password=xxxserver.ssl.key-alias=myservice - 务必禁用不安全协议：
server.ssl.enabled-protocols=TLSv1.2,TLSv1.3
证书管理关键提醒
无论在哪一层配，以下三点不能跳过：
-
路径用绝对路径：Nginx 中写
/etc/nginx/ssl/fullchain.pem，别用相对路径 -
权限要收紧：私钥文件（.key/.p12）权限设为
600，属主为运行 Nginx 或 Java 的用户 -
自动续期必须做：Let’s Encrypt 证书 90 天过期，用
certbot renew --quiet --post-hook "nginx -s reload"或 systemd timer 自动刷新
