1. 降权启动Tomcat：避免root权限风险
以非root用户运行Tomcat是基础安全措施，可防止服务被入侵后直接获取系统root权限。创建专用系统用户（如tomcat），并将其设为Tomcat目录的所有者：
sudo useradd -m -d /opt/tomcat -U -s /bin/false tomcat # 创建无登录权限的系统用户
sudo chown -R tomcat:tomcat /opt/tomcat # 设置目录属主
修改Tomcat启动脚本（如/opt/tomcat/bin/startup.sh），在首行添加su - tomcat -c，确保以tomcat用户身份启动服务。
2. 删除默认应用与禁用自动部署：减少攻击面
Tomcat默认安装的docs、examples、ROOT等应用包含敏感信息（如路径配置），易成为攻击入口。删除webapps目录下所有默认应用：
rm -rf /opt/tomcat/webapps/*
同时，在server.xml中禁用自动部署（避免未经审核的应用自动上线）：
<Host name="localhost" appBase="/opt/tomcat/webapps" unpackWARs="false" autoDeploy="false">
3. 配置防火墙：限制端口访问
使用ufw（Uncomplicated Firewall）仅允许必要端口（如HTTP 8080、HTTPS 8443、SSH 22）对外开放，阻止非法IP访问：
sudo ufw allow 22/tcp # 允许SSH（管理服务器必需）
sudo ufw allow 8080/tcp # 允许HTTP（若未启用HTTPS）
sudo ufw allow 8443/tcp # 允许HTTPS
sudo ufw enable # 启用防火墙
sudo ufw status # 验证规则（应显示ALLOW规则）
4. 启用HTTPS与SSL/TLS：加密数据传输
使用Let’s Encrypt免费证书实现HTTPS，避免数据在传输过程中被窃取或篡改。获取证书并配置Tomcat：
sudo snap install --classic certbot # 安装Certbot
sudo certbot certonly --standalone -d yourdomain.com -m your@email.com --agree-tos # 获取证书
sudo cp /etc/letsencrypt/live/yourdomain.com/*.pem /opt/tomcat/conf/ # 复制证书到Tomcat目录
sudo chown -R tomcat:tomcat /opt/tomcat/conf/*.pem # 设置正确权限
修改server.xml，添加HTTPS连接器：
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
SSLEnabled="true" scheme="https" secure="true"
keystoreFile="/opt/tomcat/conf/cert.pem"
keystorePass="your_cert_password"
clientAuth="false" sslProtocol="TLS"/>
5. 隐藏Tomcat版本信息：降低针对性攻击风险
修改server.xml中的Connector节点，添加server属性掩盖版本：
<Connector port="8080" protocol="HTTP/1.1"
connectionTimeout="20000" redirectPort="8443"
server="Custom Tomcat Server"/> # 替换为自定义名称
进一步修改catalina.jar中的ServerInfo.properties文件（位于org/apache/catalina/util目录），替换版本信息（需解压jar包编辑后重新打包）。
6. 强化管理界面安全：限制访问与权限
仅在必要时启用manager-gui和admin-gui，并为管理用户设置强密码（包含大小写字母、数字、特殊字符）。编辑tomcat-users.xml：
<tomcat-users>
<role rolename="manager-gui"/>
<role rolename="admin-gui"/>
<user username="secure_admin" password="ComplexPass123!" roles="manager-gui,admin-gui"/>
</tomcat-users>
通过server.xml限制管理界面访问IP（如仅允许公司IP）：
<Valve className="org.apache.catalina.valves.RemoteAddrValve"
allow="192\.168\.1\.\d+" /> # 替换为允许的IP段
7. 定期更新与补丁管理：修复已知漏洞
保持Tomcat和Java为最新稳定版本，及时应用安全补丁。使用apt更新（若通过包管理器安装）：
sudo apt update && sudo apt upgrade tomcat9 openjdk-11-jdk # 根据实际版本调整
若手动安装，定期访问Apache Tomcat官网下载最新版本并替换旧文件。
8. 配置日志权限与监控：及时发现异常
修改Tomcat日志目录权限，确保tomcat用户可写入，同时限制其他用户访问：
sudo chown -R tomcat:tomcat /opt/tomcat/logs
sudo chmod -R 750 /opt/tomcat/logs
定期审查catalina.out和localhost_access_log文件（使用tail -f实时监控），设置日志轮转（通过logrotate工具）防止日志过大。
9. 禁用不必要的组件与服务：减少漏洞点
若无需AJP协议（常用于Apache反向代理），注释server.xml中的AJP连接器：
<!-- <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" /> -->
关闭Tomcat的JMX远程管理（若未使用），编辑catalina.sh，注释-Dcom.sun.management.jmxremote相关配置。
10. 应用层安全配置：增强Web应用防护
在web.xml中配置自定义错误页面（避免暴露敏感信息），禁止目录列表：
<error-page>
<error-code>404</error-code>
<location>/error/404.html</location> # 自定义404页面
</error-page>
<error-page>
<error-code>500</error-code>
<location>/error/500.html</location> # 自定义500页面
</error-page>
<security-constraint>
<web-resource-collection>
<web-resource-name>Disable Directory Listing</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<auth-constraint/>
</security-constraint>
启用Cookie的HttpOnly和Secure属性（在context.xml中）：
<Context useHttpOnly="true">
<CookieProcessor sameSiteCookies="strict"/>
</Context>
