Tomcat如何禁止显示目录和文件列表

Tomcat是一个使用广泛的Java Web服务器，但默认情况下在web.xml文件未配置时，Tomcat允许用户请求目录并显示该目录下的文件列表。 这可能会导致访问者获得有关站点结构和文件的敏感信息。因此，在保护Web服务器的机密性和安全性方面，禁止显示文件和目录列表是一个很好的实践。

方式一：禁用自动部署

在自动部署模式下，当您部署一个WAR文件时，Tomcat会自动将其解压缩以展示其内容，并安装Web应用程序。这可能会导致目录信息泄漏。 所以可以禁用自动部署，从而禁止列出目录和文件列表。

打开$CATALINA_HOME/conf/server.xml文件，找到以下行:

<Host name="localhost"  appBase="webapps" unpackWARs="true" autoDeploy="true">

将autoDeploy属性设为false:

<Host name="localhost"  appBase="webapps" unpackWARs="true" autoDeploy="false">

方式二：使用servlets禁用目录列表

另一种方法是使用servlet来禁用目录和文件列表的显示。

首先，在您的Web应用程序中创建一个类（例如，DisableDirectoryListingServlet.java），该类扩展GenericServlet或HttpServlet并覆盖 service()方法：

public class DisableDirectoryListingServlet extends GenericServlet {
    public void service(ServletRequest req, ServletResponse res) throws ServletException, IOException {
        res.sendError(HttpServletResponse.SC_NOT_FOUND);
    }
}

接下来，在您的web.xml中定义Servlet类和其映射:

<servlet>
  <servlet-name>dirListingDisable</servlet-name>
  <servlet-class>DisableDirectoryListingServlet</servlet-class>
</servlet>

<servlet-mapping>
  <servlet-name>dirListingDisable</servlet-name>
  <url-pattern>/</url-pattern>
</servlet-mapping>

上面定义的Servlet类将为您禁止所有请求路径，接下来让您进入404页面。

方式三：使用项目文件来禁用目录列表

第三种方法是利用Tomcat的项目文件来防止目录列表的显示。 在您的Web应用程序的web.xml文件中，添加以下行：

<!-- Turn off directory listing -->
    <init-param>
        <param-name>listings</param-name>
        <param-value>false</param-value>
    </init-param>

通过这种方式，您可以控制Tomcat是否为您的站点启用目录和文件列表。

通过以上三种方法之一，您可以很容易地防止目录和文件列表的显示，并提高您站点的安全性。