证书无效的根本原因是http11aprprotocol未加载，因缺失tcnative-1.dll（windows）或libtcnative-1.so（linux），导致ssl配置被忽略而降级至nio或失败；需确认apr/ openssl库存在、路径正确且版本匹配，并验证日志中protocolhandler是否为http11aprprotocol。
证书无效不是证书本身问题，而是 Tomcat 没用上你配的证书——根本原因是 Http11AprProtocol 协议无法加载，导致配置被忽略，降级走默认 HTTP 连接器或静默失败。
为什么配置了 SSLCertificateFile 却提示证书无效
常见现象是：浏览器访问 https://localhost:9090 显示「您的连接不是私密连接」或 ERR_SSL_PROTOCOL_ERROR；日志里没有明显报错，但 server.xml 中的 SSLCertificateFile 和 SSLCertificateKeyFile 完全没生效。
根本原因只有一个：org.apache.coyote.http11.Http11AprProtocol 依赖 APR（Apache Portable Runtime）和 OpenSSL 原生库。Windows 上缺 tcnative-1.dll，Linux 上缺 libtcnative-1.so，协议就注册失败，Tomcat 自动 fallback 到不带 SSL 的 Http11NioProtocol 或直接启动失败，而你写的证书路径压根没被读取。
- Windows 下检查
bin目录是否存在tcnative-1.dll；不存在则需手动下载匹配 Tomcat 版本的二进制文件（如tcnative-1.dllfor Tomcat 9.0.x + x64 + OpenSSL 1.1.1） - Linux 下运行
ldd $CATALINA_HOME/bin/tcnative-1.so | grep "not found"，确认是否缺失libapr-1.so、libssl.so或libcrypto.so - Tomcat 启动日志中搜索
AprLifecycleListener，若出现APR not loaded或Failed to load native library，就是它
Windows 下 tcnative-1.dll 配置要点
不是把 DLL 放进 bin 目录就完事——它依赖 OpenSSL 的 DLL，且路径必须能被 JVM 找到。
- 下载地址必须匹配：例如 Tomcat 9.0.86 要用
tcnative-1.dllv1.2.36（对应 OpenSSL 1.1.1），不能混用 v2.x（要求 OpenSSL 3.0+） -
tcnative-1.dll必须放在%JAVA_HOME%\jre\bin或%CATALINA_HOME%\bin，推荐前者（JVM 优先从 JRE bin 加载 native 库） - 同时把
libssl-1_1.dll和libcrypto-1_1.dll（OpenSSL 1.1.1 运行时）也放进同一目录，否则tcnative-1.dll加载会失败 - 别用网上的“一键打包版”，很多混入了旧版 APR 或不兼容的 OpenSSL，反而引发
UnsatisfiedLinkError
Linux 下 libtcnative-1.so 编译常见翻车点
即使按教程执行了 ./configure && make && make install，仍可能因路径/权限/版本错位导致证书不生效。
-
./configure必须指定 APR 和 OpenSSL 路径，例如：./configure --with-apr=/usr/bin/apr-1-config --with-ssl=/usr（注意不是/usr/include/openssl） - 编译后生成的
.so文件默认装到/usr/local/apr/lib，但 Tomcat 只认$CATALINA_HOME/lib下的libtcnative-1.so，需手动复制或加软链 - 确保
LD_LIBRARY_PATH包含该路径，或在setenv.sh中添加：export LD_LIBRARY_PATH=$CATALINA_HOME/lib:$LD_LIBRARY_PATH - 如果系统装了多个 OpenSSL（如系统自带 1.0.2 + 手动编译 1.1.1），
make install可能链接错版本，用objdump -p libtcnative-1.so | grep NEEDED查看依赖的libssl.so.1.1是否存在
验证证书是否真正生效
别只看浏览器锁图标——它可能缓存了旧连接或 fallback 到 HTTP。最准的方式是直连并检查 TLS 握手细节：
- 用
openssl s_client -connect localhost:9090 -servername localhost，成功返回应含subject=CN=localhost和完整证书链，且无verify error - Tomcat 日志中搜索
Initializing ProtocolHandler，确认输出的是org.apache.coyote.http11.Http11AprProtocol，不是Http11NioProtocol - 删掉
server.xml中所有其他Connector，只留 HTTPS 那一个，再启动——如果还能访问http://localhost:8080，说明你的 HTTPS 配置根本没加载
证书路径写错、权限不足（Linux 下 key 文件必须是 tomcat 用户可读）、或证书格式非 PEM（比如用了 DER），都会让 APR 协议初始化静默失败——它不会报错，只会跳过整个 Connector。
