Tomcat--安全配置

红太狼 2021-08-27 21:15 637阅读 0赞

配置安全

  1. 删除webapps目录下的所有文件，禁用tomcat管理界面；
  2. 注释或者删除tomcat-users.xml文件的所有用户权限；
  3. 更改关闭tomcat指令或禁用

tomcat的server.xml中定义了可以直接关闭Tomcat实例的管理端口（默认8005）。可以通过telnet连接上该端口之后，输入SHUTDOWN（此为默认关闭指令）即可关闭Tomcat实例（注意，此时虽然实例关闭了，但是进程还是存在的）。

  • 方案一：更改端口和指令

  • 方案二：禁用8005端口：

定义错误页面

在webapps/ROOT目录下定义错误页面404.html、500.html，然后在tocmat/conf/web.xml中进行配置：

  1. <error-page>
  2.     <error-code>404</error-code>
  3.     <location>/404.html</location>
  4. </error-page>
  5. <error-page>
  6.     <error-code>500</error-code>
  7.     <location>/500.html</location>
  8. </error-page>

这样配置之后，用户在访问资源时出现404，500这样的异常，就可以看到自定义的错误页面。

应用安全

在大部分web应用中，特别是一些后台应用系统，都会实现自己的安全管理模块（权限模块），用于控制应用系统的安全访问，基本包含两个部分：认证（登录/单点登录）和授权（功能授权/数据授权）两个部分。功能完善的安全框架如：SpringSecurity、Apache Shiro等。

传输安全

HTTPS的全程是超文本传输安全协议（Hypertext Transfer Protocol Secure），是一种网络安全协议。在HTTP的基础上加入SSL/TLS来进行数据加密，保护交换数据不被窃取、泄露。

SSL和TLS是用于网络通信安全的加密协议，它允许客户端和服务器之间通过安全链接通信。SSL协议的3个特性：

  1. 保密：通过SSL链接传输的数据是加密的
  2. 鉴别：通信双方的身份鉴别，通常是可选的，但至少有一方需要验证
  3. 完整性：传输数据的完整性监察

从性能角度考虑，加密、解密是一项昂贵的处理，因为尽量不要将整个Web应用采用SSL，实际部署过程中，选择有必要进行安全加密的页面（存在敏感信息传输的页面）采用SSL通信。

HTTP和HTTPS的区别主要为以下四点：

  1. HTTPS协议需要到证书颁发机构CA申请证书，然后与域名进行绑定，HTTP不用申请证书；
  2. HTTP是超文本传输协议，属于应用层信息传输，HTTPS则是具有SSL加密的安全性传输协议，相当于HTTP的升级版；
  3. HTTP和HTTPS使用的是完全不同的链接方式，用的端口也不一样，HTTP为80，HTTPS为443；
  4. HTTP的连接是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比HTTP协议安全。

HTTPS协议优势：

  • 提高网站排名，有利于SEO；
  • 隐私信息加密，放置流量劫持；
  • 浏览器授信任；

Tomcat对HTTPS的支持：

  1. 使用JDK的keytool生成密钥库文件

    keytool -genkey -alias tomcat -keyalg RSA -keystore tomcatkey.keystore

输入对应的密钥库密码，密钥密码等信息之后，会在当前文件夹中出现一个密钥库文件：tomcatkey.keystore

  1. 将密钥库文件复制到tomcat/conf目录下

  2. 配置tomcat/conf/server.xml





发表评论

表情：
评论列表 （有 0 条评论，637人围观）

还没有评论，来说两句吧...

相关阅读

    相关 Tomcat之安全

    配置安全 一）删除webapps目录下的所有文件，禁用tomcat管理界面； 二）注释或者删除tomcat-users.xml文件内所有用户的权限； 三）更改关闭to

    柔情只为你懂柔情只为你懂/ 0 赞/ 195 阅读

    相关 tomcat的安全配置

    一、目的 本标准是Qunar信息系统安全技术标准的一部分，主要目的是根据信息安全管理政策要求，为tomcat配置提供安全标准。  二、范围 适用于我司所有tomc

    傷城~傷城~/ 0 赞/ 495 阅读

    相关 tomcat安全增强

    tomcat安全增强 1.禁用tomcat后台业务管理功能   默认安装tomcat自带启用了管理后台功能，能直接上传war对站点进行部署和管理，容易导致管理后台空口令或者

    超、凢脫俗超、凢脫俗/ 0 赞/ 344 阅读

    相关 Tomcat--安全配置

    配置安全 1. 删除webapps目录下的所有文件，禁用tomcat管理界面； 2. 注释或者删除tomcat-users.xml文件的所有用户权限； 3. 更改关

    红太狼红太狼/ 0 赞/ 638 阅读