Java Tomcat安全如何保障

Java Tomcat 安全保障清单

一 基础与运行环境

• 保持组件为最新稳定版本：持续关注并升级 JRE/JDK、Tomcat 及第三方依赖，第一时间应用安全修复；不建议长期停留在旧分支，仅打补丁也应评估升级路径。
• 最小权限运行：创建专用系统用户（如 tomcat:tomcat），禁止使用 root 启动；必要时通过端口转发（如 iptables）让非特权用户监听 80/443。
• 目录与文件权限：将 $CATALINA_HOME/conf 设为仅属主可读写（如 700），日志目录可写、可执行；可执行脚本按需最小化权限。
• 移除示例与后台应用：删除 webapps/ROOT、docs、examples、jsp-examples、servlet-examples、tomcat-docs、webdav；如非必需，删除 server/webapps/manager、host-manager 及对应 localhost/*.xml 上下文文件。
• 加固默认 Servlet：在 conf/web.xml 将 DefaultServlet listings=false，避免目录遍历与信息泄露。
• 隐藏版本信息：修改 server/lib/catalina.jar 中的 ServerInfo.properties（如 server.info=Apache Tomcat），或在 server.xml Connector 设置 server=“Apache” 以去除 HTTP 头版本。
• 保护关闭端口：更改 server.xml 的 Server port/shutdown 为强口令，并用防火墙限制仅本机访问 8005。
• 关闭不必要的协议与端口：如不使用 AJP，在 server.xml 注释或删除 AJP/1.3 Connector（8009）。

二 访问控制与加密通信

• 管理应用访问控制：
  • 限制来源 IP：在 manager/META-INF/context.xml 或 conf/Catalina/localhost/manager.xml 添加 RemoteAddrValve，仅允许内网段（如 127.0.0.1、192.168.1.0/24）。
  • 强制 HTTPS：在 manager/WEB-INF/web.xml 的 中加入 CONFIDENTIAL。
  • 强化认证：在 conf/tomcat-users.xml 仅授予必要角色（如 manager-gui、admin-gui），使用高强度口令；必要时启用 LockOutRealm 防暴力破解。
• 全站加密：为业务端口配置 SSL/TLS（推荐 8443），示例：
  • 传统 Connector：

    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS"
               keystoreFile="/path/keystore.jks" keystorePass="changeit" keyAlias="tomcat"/>
    

  • 或 SSLHostConfig（Tomcat 8.5+）：

    <Connector port="8443" protocol="HTTP/1.1">
      <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/localhost-rsa.jks" type="RSA"/>
      </SSLHostConfig>
    </Connector>
    

• 证书与密钥：生产环境使用有效 CA 签发证书；自签名证书仅用于测试。
• 防火墙与网络：仅开放必要端口（如 8080/8443），管理端口仅内网可达；云环境配合 安全组 做白名单。

三 应用与请求安全

• 禁用危险方法与谓词：在应用的 web.xml 增加安全约束，禁止 PUT、DELETE 等未使用的方法。

  <security-constraint>
    <web-resource-collection>
      <web-resource-name>Restricted methods</web-resource-name>
      <url-pattern>/*</url-pattern>
      <http-method>PUT</http-method>
      <http-method>DELETE</http-method>
    </web-resource-collection>
    <auth-constraint/>
  </security-constraint>
  

• 请求限流与超时：在 server.xml Connector 调整 maxThreads、acceptCount、connectionTimeout，缓解慢速攻击与资源耗尽。
• 输入校验与输出编码：对所有用户输入进行校验/过滤，输出到页面时进行 HTML/JSP 转义，统一使用 UTF-8。
• 错误与信息泄露防护：自定义 error-page（如 500/404），避免堆栈与路径泄露；默认错误页应被覆盖。
• 目录浏览与默认首页：确保 DefaultServlet listings=false；如无欢迎页，不暴露目录索引。

四 日志监控与运行期防护

• 访问日志与审计：启用 AccessLogValve，记录来源、时间、方法、状态码等，便于溯源与风控。

  <Valve className="org.apache.catalina.valves.AccessLogValve"
         directory="logs" prefix="localhost_access_log." suffix=".txt"
         pattern="common" resolveHosts="false"/>
  

• 运行监控：实时查看 catalina.out 与应用日志，关注异常堆栈、频繁 4xx/5xx、可疑访问路径。
• Java 安全管理器（可选）：在 catalina.sh/catalina.bat 启用 Security Manager 并配置策略文件，限制应用系统权限（需充分测试兼容性）。
• 备份与变更管理：定期备份 conf、webapps、keystore 等关键资产；变更走评审与回滚预案。

五 快速检查清单