Tomcat 安全规范 (Tomcat 安全加固和规范)

为什么需要 Tomcat 安全规范？

Tomcat 作为一款常用的 Java Web 服务器，因其易用、易安装等特点被广泛应用。但是，由于其安全性较弱，存在着许多潜在的安全风险，例如 SQL 注入、XSS 攻击、未授权访问等。因此，制定 Tomcat 安全规范并严格执行这些规范，可以大大降低安全风险，从而保护 Web 应用程序的安全性和稳定性。

Tomcat 安全规范具体实施步骤

一、修改 Tomcat 默认访问端口

默认情况下，Tomcat 使用 8080 端口进行 HTTP 访问，使用 8005 端口进行远程 shutdown 命令访问，使用 8009 端口进行 AJP 连接。这些默认端口很容易被攻击者利用，建议修改 Tomcat 使用的端口号，例如将 HTTP 访问端口修改为 80 或 443，将远程 shutdown 命令端口修改为其他随机端口，将 AJP 连接端口关闭。

具体修改方法：

1. 打开 server.xml 配置文件

2. 修改 HTTP 访问端口号，在 <Connector port="8080"> 标签中增加 port="80" 或 port="443" 属性

<Connector port="80" protocol="HTTP/1.1"
connectionTimeout="20000"
redirectPort="8443" />

1. 修改远程 shutdown 命令端口号，在 Server 标签中增加 port="随机端口" 属性

```

 <GlobalNamingResources>
 </GlobalNamingResources>

 <Service name="Catalina">
   <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />
   <Engine name="Catalina" defaultHost="localhost">
     <Realm className="org.apache.catalina.realm.LockOutRealm">
       <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
                 resourceName="UserDatabase"/>
     </Realm>

     <Host name="localhost"  appBase="webapps"
           unpackWARs="true" autoDeploy="true">

       <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
              prefix="localhost_access_log" suffix=".txt"
              pattern="%h %l %u %t &quot;%r&quot; %s %b" />

     </Host>
   </Engine>
 </Service>

```

1. 关闭 AJP 连接，注释掉 <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" /> 标签

```

```

二、限制 Tomcat 访问权限

1. 修改 Tomcat 用户和角色：Web 应用程序部署之前需要修改 Tomcat 用户和角色，并限制访问权限。例如，删除 Tomcat 默认用户名密码，并创建具有限制权限的新用户和角色。
   <role rolename="tomcat"/>
<role rolename="manager-gui"/>
<role rolename="admin-gui"/>
<user username="admin" password="password" roles="manager-gui,admin-gui"/>
2. 绑定 Tomcat 监听的主机，增强控制访问。例如，将 Tomcat 只允许绑定在本机的 IP 地址或者设定特定的 IP 地址，如果是部署在一台服务器上，推荐直接绑定在指定外网 IP 上，限制客户机访问。
   <Connector port="8080" protocol="HTTP/1.1"
connectionTimeout="20000"
redirectPort="8443"
address="172.168.1.63"/>

三、使用安全的 HTTPS 协议

1. 配置证书、私钥和根证书，Tomcat 8.5 中默认支持 Server Name Indication（SNI）和 TLSv1.2 等安全协议，并可以适应大量的加密算法。
   <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLSv1.2"
keystoreFile="/path/to/keystore"
keystorePass="my_password"
keyAlias="tomcat"
truststoreFile="/path/to/truststore"
truststorePass="store_password"
truststoreType="JKS"
truststoreProvider="SUN"/>

2. 增加 HTTP 重定向功能以确保所有访问都是安全的 HTTPS 访问。配置 HTTP 重定向功能的时候不建议使用 Tomcat 中默认的 redirectPort，而是采用 Force HTTPS 固定模式。
   ```
   

        <Valve className="org.apache.catalina.valves.rewrite.RewriteValve" />
        ```
   

   例如：将 http://localhost:8080/test 重定向为 https://localhost/test。在 Tomcat 目录下创建 conf/Catalina/localhost/test.xml 文件，添加以下内容：

   <Context>
<Valve className="org.apache.catalina.valves.rewrite.RewriteValve" />
</Context>

   在 webapps/test/META-INF 目录下创建 rewrite.config 文件，添加以下内容：

   RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/test$1 [L,R=301]

示例一：

一家网站的 Tomcat 部署在服务器上，每次发起的 Tomcat 访问都是经过负载均衡从多个服务器进行反向代理，每台服务器对外网的 IP 都是不同的，Tomcat 应该如何设置绑定 IP 和策略？

修改 Tomcat 的 server.xml 配置文件，将默认的主机名改为需要绑定的外网 IP 地址，访问 Tomcat 或者部署的 Web 应用程序只能通过该 IP 地址进行访问。例如：

  ```
  <Engine name="Catalina" defaultHost="172.168.1.63">
    ...
  </Engine>
  <Service name="Catalina">
    <Connector port="80" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443"
               address="172.168.1.63"/>
  </Service>
  ```

示例二：

一家电子商务网站的 Tomcat 部署在一台服务器上，需要保护用户输入账号密码等数据的安全。该网站应该使用什么方法来保护数据的安全？

使用 HTTPS 协议对用户数据进行加密传输，确保用户数据的安全。具体实现方法为：使用 SSL 证书对 Tomcat 进行加密配置，确保用户登录数据在传输过程中不被截获。

  ```
  <Connector port="443" maxHttpHeaderSize="8192"
               maxThreads="150" minSpareThreads="25" maxSpareThreads="75"
               enableLookups="false" disableUploadTimeout="true"
               acceptCount="100" scheme="https" secure="true"
               SSLEnabled="true" clientAuth="false" sslProtocol="TLS"
               keyAlias="tomcat" keystoreFile="/path/to/ssl_keystore"
               keystorePass="st0pk3y"/>
  ```