Java Tomcat安全设置有哪些要点

Java Tomcat 安全设置要点

一 基础与运行环境

• 保持组件为最新稳定版本：持续关注并升级 JRE/JDK、Tomcat 及第三方依赖的安全修复版本，第一时间修补已公开漏洞。
• 最小安装与清理：删除 webapps 下的示例与文档（如 docs、examples、ROOT），生产环境建议移除管理应用 host-manager、manager；如确需保留，务必加强访问控制。
• 以非特权用户运行：创建专用系统用户（如 tomcat）启动进程，避免使用 root/Administrator；在 Windows 服务中将“登录身份”设为该普通账户。
• 目录与文件权限：将 CATALINA_HOME/conf 设为只读（如 400），日志目录可写；限制配置文件仅管理员可读写，降低被篡改风险。
• 变更前先备份：修改 server.xml、web.xml、tomcat-users.xml 等关键文件前做好备份与回滚方案。

二 连接器与网络暴露面

• 禁用或保护管理端口：默认 8005 为关闭端口，修改默认关闭命令为复杂字符串，并用防火墙限制来源 IP；若无需远程关闭，直接关闭或限制访问。
• 关闭 AJP（如未使用）：前端为 Nginx/Apache HTTPD 反向代理时，建议注释或移除 AJP/1.3 连接器（默认 8009），减少攻击面。
• 隐藏版本与敏感头：在 server.xml Connector 设置 server=“Apache” 隐藏 Server 头；必要时修改 catalina.jar 中 ServerInfo.properties 以去除版本信息。
• 开启访问日志：在 server.xml 配置 AccessLogValve，记录 客户端IP、时间、请求行、状态码、字节数 等，便于审计与溯源。
• 限制管理应用访问：对 /manager 与 /host-manager 使用 RemoteAddrValve/RemoteHostValve 仅允许内网或跳板机访问；必要时将管理应用改名并强制 HTTPS（在应用的 web.xml 中使用 CONFIDENTIAL）。
• 协议与端口：对外仅开放必要端口（如 8080/8443），管理端口与调试端口不暴露公网。

三 应用与部署安全

• 禁止目录浏览：在 conf/web.xml 将 DefaultServlet 的 listings 设为 false，防止目录遍历与信息泄露。
• 禁用 WebDAV 与危险方法：如无 WebDAV 需求，删除或禁用相关组件；将 DefaultServlet readonly 设为 true，限制 PUT/DELETE 等写操作。
• 关闭自动部署：将 Host 的 autoDeploy 与 deployOnStartup 设为 false，避免恶意或未经测试应用被热部署。
• 自定义错误页面：在 web.xml 配置 （如 404、500、java.lang.Throwable），避免在生产环境暴露堆栈与敏感路径。
• 连接与超时：合理设置 connectionTimeout（如 20000–30000 ms），并视场景关闭 enableLookups 减少 DNS 反查开销。
• 静态资源压缩：在 Connector 中按需启用 gzip 压缩，注意权衡 CPU 与带宽。

四 认证授权与访问控制

• 强口令与最小权限：为 tomcat-users.xml 中的管理角色设置复杂口令（长度≥8，包含大小写字母、数字与特殊字符中至少 3 类），仅授予必需角色。
• 容器管理认证方式：在应用的 web.xml 使用 与 配置 BASIC/DIGEST/FORM/CLIENT-CERT 四种认证；表单登录使用固定表单字段 j_username/j_password 与动作 j_security_check。
• 摘要认证：如需 DIGEST，用 CATALINA_HOME/bin/digest.[bat|sh] -a MD5 {username}:{realm}:{password} 生成摘要口令并在用户库中配置。
• 外部认证与统一管控：通过 JNDIRealm/LDAP/Active Directory 对接企业目录，集中账号与授权管理。
• 细粒度 URL 与 IP 控制：在应用内用 限制 /admin/ 等敏感路径；在 Context 中使用 RemoteAddrValve 按 IP/网段 白名单放行。

五 加密与审计

• 启用 HTTPS/TLS：在 server.xml 配置 8443 端口与证书（JKS 或 SSLHostConfig），对外管理端与登录一律走 HTTPS；必要时启用 CLIENT-CERT 双向认证。
• 证书与协议：优先使用 TLS 1.2+，禁用弱协议与弱套件；证书妥善保管并定期轮换。
• 访问与操作审计：开启 AccessLogValve，对管理操作、失败登录、异常状态码等进行集中监控与告警；定期审计日志留存与完整性。
• 传输保护：对 /manager 等敏感应用强制 CONFIDENTIAL 传输；对外最小化暴露面，后台仅在内网可达。