tomcat配置调优与安全总结
tomcat配置调优与安全总结作为运维，避免不了与tomcat打交道，然而作者发现网络上关于tomcat配置和调优安全的文章非常散，通过参考各位大神的相关技术文档，根据作者对tomcat的运维经验，总结了一些tomcat的基础运维注意事项，希望对广大技术兄弟们有些帮助。
本篇文章只是对tomcat模板的基础调优，除了部署tomcat的各系统环境和配置，影响tomcat并发和性能的另一大重要因素，就是java的代码工程，而如何在生产中优化java工程，这个就需要运维与开发共同配合，尤其是运维需要有开发与运维是同一个团队的意识，只有双方配合默契才能发挥最大战力，要知道一个人的力量永远是有限的，只有团队合作才能爆发出真正力量！
而包含了Java工程的整体优化就设计到整体的架构优化，这个更加是一个细致而有趣的过程，也是运维通向架构师的一个必经之路！
1 功能优化
1.1 硬件资源对tomcat的影响
作者实测，在阿里云的不同区域部署相同系统应用配置的tomcat，在压测时会出现吞吐量差异达到1/4，经过对比发现，两个区域的cpu频率2.2GHz和2.6Ghz。系统硬件性能直接影响tomcat的并发量，起决定作用的是CPU和MEM，CPU运行速度提升，会带来tomcat响应时间的缩短，mem大小决定工程需要内存的大小和工程的并发数量。1.2 Java虚拟机调优
1.2.1 JDK版本选择
如果新手请选择SUN的JVM，在满足项目需要的前提下，尽量选用版本较高的JVM，一般来说高版本产品在速度和效率上比低版本会有改进。 JDK1.4比JDK1.3性能提高了近10%-20%，JDK1.5比JDK1.4性能提高25%-75%。 因此对性能要求较高的情况推荐使用 JDK1.6。
这里需要补充的是，各位在打算升级JVM时，一定要先让开发先试用高版本的JVM，调试高版本JVM对工程的影响，经过测试后逐步部署到测试环境，经过一定时间的验证，发现没有问题后再谨慎的更换到生产。JVM版本不一致，很容易出现各类异常，对待生产，谨慎永远是第一原则！
JVM调优参见：http://vekergu.blog.运维网.com/9966832/1626733
1.2.2 JDK参数优化
Tomcat内存优化主要是对 tomcat 启动参数优化，我们可以在 tomcat 的启动脚本 catalina.sh 中设置 JAVA_OPTS参数。
1. JAVA_OPTS参数说明
-server 启用jdk 的 server 版；
-Xms java虚拟机初始化时的最小内存；
-Xmxjava虚拟机可使用的最大内存；
-XX:PermSize 内存永久保留区域
-XX:MaxPermSize 内存最大永久保留区域
-Xms=-Xmx=服务器内存*70%,如部署tomcat,jboss在同一台服务器-Xms=-Xmx=服务器内存*80%*1/4，现公司服务器内存一般都可以加到最大4G，所以可以采取以下配置，把以下参数添加到catalina.sh里面，
JAVA_OPTS='-Xms1024m -Xmx4096m -XX:PermSize=256M -XX:MaxNewSize=256m-XX:MaxPermSize=256m'
#-Xmx6000m :设置JVM最大可用内存为6000MB
#-Xms6000m :设置JVM初始可用内存为6000MB
#-Xmn2g :设置年轻代大小为2G
#-Xss128k :设置每个线程的堆栈大小为128k
#-XX:NewRatio=4 :设置年轻代与年老代的比值为4
#-XX:SurvivorRatio=4 :设置年轻代中Eden区与Survivor区的大小比值为4
#-XX:PermSize=512m :设置堆栈永久区起始大小为512m
#-XX:MaxPermSize=512m :设置堆栈永久区最大大小为512m
#-XX:MaxTenuringThreshold=0 :设置垃圾最大年龄为0
#-XX:+UseParallelGC :选择垃圾收集器为并行收集器
#-XX:ParallelGCThreads=8 :配置并行收集器的线程数
#-XX:+UseParallelOldGC :配置年老代垃圾收集方式为并行收集
#-XX:+UseAdaptiveSizePolicy :并行收集器会自动选择年轻代区大小和相应的Survivor区比例，以达到目标系统规定的最低响应时>间或者收集频率等，此值建议使用并行收集器时，一直打开。
1.2.3 生产案例
根据作者本人的经验，生产环境需要确定对JVM的设置，还是需要根据java的运行状态，通过监控后，不断的调试的一个过程，没有那个配置一上来就可以适应所有的场景。以下就举列作者常用的一个JVM配置方式：
JAVA_OPTS="
-server
-Xms1024m
-Xmx1024m
-Xmn384m
-XX:PermSize=64m
-XX:MaxPermSize=128m
-XX:+UseParallelOldGC
-XX:+PrintGCDateStamps
-XX:+PrintGCDetails
-Xloggc:/opt/tomcat/log/gc.log
-XX:+HeapDumpOnOutOfMemoryError
-XX:HeapDumpPath=/opt/tomcat/heap.bin"
说明：
1. Xms与Xmx普遍选择配置相同的大小，实际大小根据实际情况调整，由小向大增加，没必要一开始就增加到很大的内存。
2. XX:PermSize设置堆栈永久区起始大小，XX:MaxPermSize设置堆栈永久区最大大，其实设置比默认值大写即可，或者默认也可以。作者这个这两个值，是因为出现过永久区内存溢出，才进行设定的。
3. UseParallelOldGC、PrintGCDateStamps、PrintGCDetails、Xloggc:/opt/tomcat/log/gc.log设置GClog日志，这个对分析tomcat中JVM内存使用情况非常有效。
4. XX:+HeapDumpOnOutOfMemoryError、XX:HeapDumpPath=/opt/tomcat/heap.bin"设置内存溢出时，输出HeapDump，具体如何使用分析HeapDump文件，请参考：http://vekergu.blog.运维网.com/9966832/1619640
5. 作者对JVM参数设置的做法，调整合适的JVM内存大小，开启GClog和HeapDump即可。
1.3 tomcat集群之session共享
1.3.1 基于tomcat集群的session共享
在{TOMCST_HOME}/conf/server.xml取消下面代码注释即可：
1.3.2 基于memcached存储session共享
具体配置方法见：http://vekergu.blog.运维网.com/9966832/1672833
1.4 站点的默认网页、自定义错误页面、禁止列目录等功能
这些功能开发会在工程的WEB-INF目录下的web.xml中设置，运维了解下就好，者遇到类似问题可以找到解决思路。
1.4.1 默认主页
index.html
index.htm
index.jsp
1.4.2 自定义错误页面
404
/404.htm
1.4.3 定义会话超时时间
30
1.4.4 禁止列目录
listings
false
1.5 管理AJP端口
AJP是为 Tomcat 与 HTTP 服务器之间通信而定制的协议，能提供较高的通信速度和效率。如果tomcat前端放的是apache的时候，会使用到AJP这个连接器。由于我们公司前端是由nginx做的反向代理，因此不使用此连接器，因此需要注销掉该连接器。在{TOMCST_HOME}/conf/server.xml中找到下列代码，注释即可
1.6 取消默认gc监听
如果开启了GClog，再开启GC监听，会影响GClog输出，功能重复，可以选择取消。
1.7 自定义tomcat代码路径（2015-7-21新增）
其中：
docBase这个是你代码的路径
path这个是你访问网站的URL路径,要区别path的意义，请看下面的举例
举例：
访问www.aaa.com
访问www.aaa.com/code_file
reloadable如果为true，会自动加载变化的动态文件，看起来挺智能的，但是，在tomcat加载变化代码的时候有可能会出现内存溢出，tomcat服务不正常等异常，建议还是false掉，更新完代码脚本重启tomcat才是王道。
此前看到一些文章，在讲解自定义tomcat代码路径时，reloadable全部是true，可能能多小伙伴都设置为true，建议对这个参数认真对待，否则一不小心就是一个坑。。。。
2 性能优化
2.1 屏蔽DNS查询
Web应用程序可以通过Web容器提供的getRemoteHost()方法获得访问Web应用客户的IP地址和名称，但是这样会消耗Web容器的资源，并且还需要通过IP地址和DNS服务器反查用户的名字。因此当系统上线时，可以将这个属性关闭，从而减少资源消耗，那么Web应用也就只能记录下IP地址。修改的属性是enableLoopups="false"。
2.2 调整线程数
Tomcat通过线程池来为用户访问提供响应，对于上线的系统初步估计用户并发数量后，再调整线程池容量。例如，用户并发数量在100左右时，可以设置minProcessors="100"，maxProcessors="100"。将最大和最小设置为一样后，线程池不会再释放空闲的线程，当用户访问突然增加时，不需要再消耗系统资源去创建新的线程。
2.3 调整最大连接数
这个其实最复杂，即使用户并发量大，但是系统反应速度快，也没必要把这个值设置太高，高了系统需要消耗大量的资源去切换线程，但是如果设置太低也会造成应用无法满足用户并发需要。因此设置这个最好能够结合整个系统的跟踪与调优，使系统达到最好的平稳状态，一般设置为maxProcessors的1.5倍即可。
2.4 调整网络超时
主要是HTTP协议也有个连接过程，客户端连接到服务器上后，如果长时间没有得到处理就会被释放。如果服务器处理速度较慢，但是希望每个用户都能得到有效处理，或者网络环境不好，需要保证用户不会因为超时中断，也可以把时间加长。但是一般设置成connectionTimeout="30000"即可。太长对系统来说价值不大，反而会浪费系统资源在无谓的长连接上。
2.5 压缩管理
tomcat作为一个应用服务器，也是支持 gzip 压缩功能的。我们可以在 server.xml 配置文件中的 Connector 节点中配置如下参数，来实现对指定资源类型进行压缩。
compression="on" # 打开压缩功能
compressionMinSize="50" # 启用压缩的输出内容大小，默认为2KB
noCompressionUserAgents="gozilla, traviata" # 对于以下的浏览器，不启用压缩
compressableMimeType="text/html,text/xml,text/javascript,text/css,text/plain"# 哪些资源类型需要压缩 如果使用apache/nginx代理，所以tomcat自身不需要进行压缩，会给服务器增加压力
2.6 tomcat的三种运行模式选择
2.6.1 Bio
默认的模式,性能非常低下,没有经过任何优化处理和支持。
2.6.2 Nio
利用java的异步io护理技术,no blocking IO技术.
想运行在该模式下，直接修改server.xml里的Connector节点,修改protocol为
启动后,就可以生效。
2.6.3 Apr
安装起来最困难,但是从操作系统级别来解决异步的IO问题,大幅度的提高性能.。必须要安装apr和native，直接启动就支持apr。
安装APR
sudo yum -y install aprapr-devel
tar zxvf tomcat-native.tar.gz //该文件在tomcat的bin目录下面
cd tomcat-native-1.1.24-src/jni/native
./configure--with-apr=/usr/bin/apr-1-config
make
make install 安装完成之后 会出现如下提示信息
Libraries have been installed in:
/usr/local/apr/lib
安装成功后还需要对tomcat设置环境变量，方法是在catalina.sh文件中增加一 行：
CATALINA_OPTS="-Djava.library.path=/usr/local/apr/lib"
修改8080端对应的
protocol="org.apache.coyote.http11.Http11AprProtocol"2.7 Tomcat连接相关参数总结
在Tomcat 配置文件 server.xml 中的配置中
maxThreads 客户请求最大线程数
minSpareThreads Tomcat初始化时创建的 socket 线程数
maxSpareThreads Tomcat连接器的最大空闲 socket 线程数
enableLookups 若设为true, 则支持域名解析，可把 ip 地址解析为主机名
redirectPort 在需要基于安全通道的场合，把客户请求转发到基于SSL 的 redirectPort端口
acceptAccount 监听端口队列最大数，满了之后客户请求会被拒绝（不能小于maxSpareThreads）
connectionTimeout 连接超时
minProcessors 服务器创建时的最小处理线程数
maxProcessors 服务器同时最大处理线程数
URIEncoding URL统一编码
compression 打开压缩功能
compressionMinSize 启用压缩的输出内容大小，这里面默认为2KB
compressableMimeType 压缩类型
connectionTimeout 定义建立客户连接超时的时间. 如果为 -1, 表示不限制建立客户连接的时间
2.8 生产配置实例
页:
[1]