centos下tomcat如何保障数据安全

CentOS下Tomcat数据安全保障措施

1. 操作系统级基础安全

使用非root用户启动Tomcat：创建专用用户（如tomcat），赋予Tomcat目录所有权（chown -R tomcat:tomcat /opt/tomcat），避免以root身份运行，降低权限滥用风险。
配置防火墙限制访问：通过firewalld开放Tomcat端口（如8080、8443），并限制访问源IP（如仅允许公司IP段），减少外部非法访问。
```
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
sudo firewall-cmd --zone=public --add-port=8443/tcp --permanent
sudo firewall-cmd --reload
```

2. Tomcat自身配置加固

隐藏版本信息：修改server.xml中的Connector节点，添加server属性（如server="MyAppServer/1.0"），避免泄露Tomcat版本，减少针对性攻击。
关闭自动部署：在server.xml中设置autoDeploy="false"和unpackWARs="false"，防止恶意WAR文件自动上传和部署。
删除默认应用与示例目录：删除webapps下的docs、examples、host-manager、manager、ROOT等目录，减少不必要的服务入口和敏感信息暴露。
禁用不必要的组件：关闭AJP端口（protocol="AJP/1.3"的Connector设置为port="-1"），避免通过AJP协议发起的攻击。

3. 数据传输加密（HTTPS配置）

获取SSL证书：从可信CA机构（如Let’s Encrypt）获取SSL证书（含certificate.crt和private.key），或使用自签名证书（仅测试环境使用）。

配置Tomcat HTTPS连接器：修改server.xml，添加Connector节点，启用TLS协议并指定加密套件（优先使用TLSv1.2及以上，推荐TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256等强加密套件）。

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true" scheme="https" secure="true"
           sslProtocol="TLS"
           sslEnabledProtocols="TLSv1.2,TLSv1.3"
           ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256"
           keystoreFile="/path/to/keystore.jks" keystorePass="your_keystore_password"/>

强制HTTPS访问：通过web.xml配置security-constraint，将HTTP请求重定向至HTTPS，确保数据传输全程加密。

4. 敏感数据保护（数据源加密）

加密数据库密码：使用Jasypt等加密库对Tomcat数据源中的敏感信息（如数据库用户名、密码）进行加密。步骤如下：
1. 添加Jasypt依赖（如Maven项目添加jasypt依赖）。
2. 生成加密密钥（如mySecretKey），并保存到conf/jasypt.properties（设置jasypt.encryptor.password=mySecretKey，权限设为600）。
3. 使用Jasypt CLI加密敏感信息（如java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input="dbPassword" password="mySecretKey" algorithm="PBEWithMD5AndDES"）。
4. 替换server.xml中的明文密码为加密字符串（如password="ENC(加密后的字符串)"）。
限制数据源访问：在context.xml中配置数据源的useHttpOnly="true"，防止通过JavaScript窃取Session Cookie；设置maxActive、maxIdle等参数，避免数据库连接池耗尽。

5. 访问控制与权限管理

限制管理界面访问：修改tomcat-users.xml，仅为授权用户分配manager-gui、admin-gui等角色（如<user username="admin" password="securePassword" roles="manager-gui"/>）；通过server.xml的Valve节点限制管理界面的IP访问（如仅允许公司IP访问/manager/html）。

禁用危险HTTP方法：在web.xml中添加security-constraint，禁止PUT、DELETE、TRACE等危险方法，防止恶意修改或探测资源。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Restricted Methods</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>PUT</http-method>
        <http-method>DELETE</http-method>
        <http-method>TRACE</http-method>
    </web-resource-collection>
    <auth-constraint/>
</security-constraint>

6. 日志监控与应急响应

启用详细日志：配置Tomcat的logging.properties，开启org.apache.catalina、org.apache.coyote等包的FINE级别日志，记录访问请求、错误信息等。
定期审计日志：使用grep、awk等工具分析日志，监控异常活动（如频繁的登录失败、大量404请求），及时发现潜在攻击。
制定应急响应计划：定期备份Tomcat配置文件（server.xml、web.xml）和应用数据，确保在遭受攻击（如数据泄露、服务中断）时能快速恢复。

7. 定期更新与补丁管理

升级Tomcat版本：定期检查Apache Tomcat官网的安全公告，及时升级到最新稳定版本，修复已知漏洞（如CVE-2020-1938反序列化漏洞、CVE-2021-44228 Log4j漏洞）。
更新依赖组件：确保Tomcat依赖的JDK、数据库驱动等组件为最新版本，避免因组件漏洞导致的数据安全风险。