debian java安全如何配置

在 Debian 上“Java 安全配置”通常包含几个层面：系统/运行环境安全、JVM 安全参数、Java 应用安全（Web/服务）、依赖与漏洞管理。下面按实战角度给你一个可落地清单。

一、Debian 系统层面

1. 使用官方/稳定源安装 JDK

sudo apt update
sudo apt install -y openjdk-17-jdk

推荐：

• OpenJDK 17（长期支持）
• 不要用废弃 JDK（8 仅特殊情况）

查看版本：

java -version

2. 最小化安装

• 不需要桌面环境就不要装
• 不用 root 运行 Java 服务

创建专用用户：

sudo useradd -r -s /bin/false javasvc

二、JVM 安全配置

1. 以非 root 用户运行

sudo -u javasvc java -jar app.jar

2. 限制 JVM 权限（Security Manager，逐渐废弃但可用）

java -Djava.security.manager -Djava.security.policy=my.policy -jar app.jar

Java 17+ 已弱化 SecurityManager，更推荐用容器/系统权限控制

三、Java 安全参数建议

1. 禁用危险功能

java \
  -Djava.rmi.server.useCodebaseOnly=true \
  -Dcom.sun.jndi.rmi.object.trustURLCodebase=false \
  -Dcom.sun.jndi.ldap.object.trustURLCodebase=false \
  -jar app.jar

防止：

• RMI / JNDI 远程代码执行（Log4j 类漏洞）

四、Web / 服务安全（常见 Java 应用）

1. 使用反向代理（Nginx）

• TLS termination
• 限制请求大小
• 防 CC / 扫描

示例：

client_max_body_size 10m;
limit_req_zone $binary_remote_addr zone=java:10m rate=10r/s;

2. 防火墙

sudo ufw allow 80,443/tcp
sudo ufw deny 8080/tcp

五、依赖与漏洞管理（非常重要）

1. 定期检查 CVE

sudo apt install -y debsecan
debsecan

2. Java 依赖扫描

• Maven:

mvn org.owasp:dependency-check-maven:check

• Gradle:

gradle dependencyCheckAnalyze

3. Log4j 等历史漏洞修复

• 升级到安全版本
• 设置：

-Dlog4j2.formatMsgNoLookups=true

六、文件与目录权限

/opt/app   # 750 javasvc
/etc/app   # 640
/var/log/app # 750

禁止：

• 777
• 世界可读配置文件

七、容器化（推荐）

FROM eclipse-temurin:17-jre
USER nonroot
COPY app.jar /app.jar
ENTRYPOINT ["java","-jar","/app.jar"]

配合：

• seccomp
• read-only rootfs
• cap_drop ALL

八、监控与审计

• journalctl
• fail2ban
• Prometheus + JMX Exporter
• 审计 Java 进程：

ps -ef | grep java

九、常见错误（不要做）

❌ root 运行 Java
❌ 开放 0.0.0.0:8080 到公网
❌ 使用旧 JDK 8 无补丁
❌ 信任远程 codebase
❌ 忽略依赖漏洞

如果你能告诉我：

• 用的是 Spring Boot / Tomcat / 普通 Jar
• Debian 版本
• 是否公网暴露

我可以给你一份更精准的安全配置模板。