TOMCAT安全配置

plantegg

　　删除默认文件

删除TOMCAT默认示例文件、帮助文件、后台管理界面等，禁止使用manager/admin管理后台。需删除的文件和目录清单如下：



$CATALINA_BASE/server/webapps/manager
$CATALINA_BASE/server/webapps/host-manager
$CATALINA_BASE/webapps/balancer
$CATALINA_BASE/webapps/manager
$CATALINA_BASE/webapps/host-manager
$CATALINA_BASE/webapps/webdav
$CATALINA_BASE/webapps/tomcat-docs
$CATALINA_BASE/webapps/jsp-examples
$CATALINA_BASE/webapps/servlets-examples
$CATALINA_BASE/webapps/examples
$CATALINA_BASE/webapps/docs
$CATALINA_BASE/conf/tomcat-users.xml

　　启动帐号
建立独立用户，用户名和组名均为tomcat，不设置密码（即禁止SSH登录），tomcat进程以此帐号身份运行，严禁以root权限运行tomcat，禁止以个人帐号或其他有shell权限的帐号运行tomcat。可选如下方法之一来实现非ROOT启动tomcat：

• 修改启动脚本
  

　　
在$CATALINA_BASE/startenv.sh里面export环境变量：
export TOMCAT_USER=tomcat
同时需要修改$CATALINA_HOME/bin/startup.sh
把



exec "$PRGDIR"/"$EXECUTABLE" start "$@"  

　　修改为：



if [ -z "$TOMCAT_USER" ]; then
exec "$PRGDIR"/"$EXECUTABLE" start "$@"
else
exec su $TOMCAT_USER -c "$PRGDIR/$EXECUTABLE start $@"
fi

　　

• 使用jsvc来启动tomcat
  

　　
在jsvc配置文件里面指定参数



引用




-u tomcat

　　禁止列目录
配置$CATALINA_BASE/conf/web.xml文件，防止直接访问目录时由于找不到默认主页而列出目录下所有文件。




listings
false


　　
打开access log
按小时或按天记录。prefix/fileDateFormat/pattern可自定义，但必须记录关键信息，例如：源IP，Host、时间、
请求、状态码、数据大小、UA等。注意：如果前端是NG做反向代理，默认的pattern="combined"和pattern="common"不能
记录用户的真实IP，必须自定义pattern，记录客户端真实IP（X-Real-IP）



引用