debian jsp安全如何配置

在 Debian 上运行 JSP（通常是 Tomcat / Jetty 等 Java Web 容器） 时，安全配置应从系统层、容器层、应用层三方面入手。下面给你一份实用、可落地的 Debian + JSP 安全配置清单。

一、系统层安全（Debian）

1. 最小化安装

apt install --no-install-recommends tomcat10

不装 GUI
不装多余服务

2. 创建专用用户

Tomcat 不要用 root 运行：

useradd -r -s /bin/false tomcat
chown -R tomcat:tomcat /var/lib/tomcat10

3. 防火墙

ufw enable
ufw allow 80
ufw allow 443
ufw deny 8080

生产环境不要直接暴露 8080

4. 系统更新

apt update && apt upgrade
unattended-upgrades

二、Tomcat（JSP 容器）安全配置

1. 关闭默认应用

删除：

rm -rf /var/lib/tomcat10/webapps/ROOT
rm -rf /var/lib/tomcat10/webapps/docs
rm -rf /var/lib/tomcat10/webapps/examples

2. 禁止目录列表

conf/web.xml：

<init-param>
  <param-name>listings</param-name>
  <param-value>false</param-value>
</init-param>

3. 禁用 AJP（如不用）

conf/server.xml：

<!-- 注释掉 -->
<!-- <Connector port="8009" protocol="AJP/1.3" /> -->

4. 限制管理后台

删除 manager / host-manager
或限制 IP：

<Valve className="org.apache.catalina.valves.RemoteAddrValve"
       allow="127\.0\.0\.1" />

5. 启用 HTTPS

apt install certbot
certbot certonly --webroot

配置 server.xml：

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true">
  <SSLHostConfig>
    <Certificate certificateFile="..." />
  </SSLHostConfig>
</Connector>

三、JSP / Java 应用安全

1. 关闭 JSP 错误详情

WEB-INF/web.xml：

<error-page>
  <exception-type>java.lang.Exception</exception-type>
  <location>/error.jsp</location>
</error-page>

2. 防止 XSS

输出转义（JSTL）：

<c:out value="${param.name}" />

设置 CSP：

Content-Security-Policy: default-src 'self'

3. 防止 SQL 注入

✅ 使用 PreparedStatement
❌ 禁止字符串拼接 SQL

4. 文件上传安全

限制类型（白名单）
存储目录不可执行
重命名文件

四、权限与日志

1. 文件权限

chmod 750 /var/lib/tomcat10
chmod 640 /etc/tomcat10/*

2. 日志监控

/var/log/tomcat10/
配合 fail2ban

五、推荐安全基线

✅ 不使用 root
✅ 不暴露管理端口
✅ 定期升级 Tomcat & JDK
✅ 使用反向代理（Nginx）

六、典型架构（安全）

Internet
   ↓
Nginx (HTTPS)
   ↓
Tomcat (localhost:8080)
   ↓
JSP App

如果你愿意，我可以：

给你一份 Tomcat 安全加固 checklist
针对 Debian 11 / 12 + Tomcat 9/10 给具体配置
帮你 审计现有 JSP 项目安全性

你现在是 学习 / 生产 / 考试 用途？