Tomcat安全加固指南：防止常见Web攻击的最佳配置实践

在当今数字化时代，Web 应用程序的安全至关重要。Tomcat 作为一款广泛使用的开源 Servlet 容器，承载着众多 Web 应用的运行。然而，由于其开放性和广泛部署，Tomcat 也面临着各种 Web 攻击的威胁。为了确保 Tomcat 服务器的安全性，采取有效的加固措施是必不可少的。下面将详细介绍 Tomcat 安全加固的最佳配置实践，帮助你防止常见的 Web 攻击。

一、Tomcat 安全加固的重要性

Web 应用程序在互联网上暴露，面临着诸如 SQL 注入、跨站脚本攻击（XSS）、拒绝服务攻击（DoS）等多种安全威胁。Tomcat 作为 Web 应用的运行环境，如果没有进行适当的安全加固，攻击者就可能利用其漏洞获取敏感信息、篡改数据甚至控制整个服务器。因此，对 Tomcat 进行安全加固可以显著提高 Web 应用的安全性，保护用户数据和业务的正常运行。

二、关闭不必要的服务和端口

2.1 分析默认端口和服务

Tomcat 默认使用 8080 端口提供 HTTP 服务，8443 端口提供 HTTPS 服务。同时，Tomcat 内部还存在一些管理端口和服务，这些服务如果不需要，应该及时关闭，以减少攻击面。

2.2 关闭示例应用

Tomcat 安装包中包含了一些示例应用，如 ROOT、examples、host - manager、manager 等。这些示例应用可能存在安全漏洞，建议将其删除或禁用。

# 找到 Tomcat webapps 目录，删除不必要的示例应用（以 Linux 为例）
rm -rf /opt/tomcat/webapps/ROOT
rm -rf /opt/tomcat/webapps/examples
rm -rf /opt/tomcat/webapps/host-manager
rm -rf /opt/tomcat/webapps/manager

（注：上述代码使用了 Linux 的 Shell 技术栈，通过 rm -rf 命令删除指定目录）

2.3 调整监听端口

如果你不需要使用 HTTPS 服务，可以在 server.xml 文件中注释掉相关的 Connector 节点。如果要修改 HTTP 服务端口，可以修改如下内容：

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443" />

将 port 属性修改为你需要的端口号，例如 80。

三、使用安全的协议和加密

3.1 启用 HTTPS

HTTPS 可以对数据进行加密传输，防止数据在传输过程中被窃取或篡改。为了启用 HTTPS，需要生成 SSL 证书并配置 Tomcat。

生成 SSL 证书

# 使用 OpenSSL 生成自签名证书
openssl req -newkey rsa:2048 -nodes -keyout server.key -x509 -days 365 -out server.crt

（注：此代码使用的是 Shell 技术栈，通过 OpenSSL 工具生成自签名的 SSL 证书，证书有效期为 365 天）

配置 Tomcat 使用 HTTPS

在 server.xml 文件中添加如下 Connector 节点：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateFile="conf/server.crt"
                     certificateKeyFile="conf/server.key"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

3.2 禁用不安全的协议和算法

在 server.xml 的 Connector 节点中，可以通过 sslEnabledProtocols 和 ciphers 属性来禁用不安全的协议和算法。

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig
        protocols="TLSv1.2,TLSv1.3"
        ciphers="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
                 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384">
        <Certificate certificateFile="conf/server.crt"
                     certificateKeyFile="conf/server.key"
                     type="RSA" />
    </SSLHostConfig>
</Connector>

这里只启用了 TLSv1.2 和 TLSv1.3 协议，并指定了安全的加密套件。

四、防止 SQL 注入攻击

4.1 使用预编译语句

在 Java Web 应用中，使用预编译语句（PreparedStatement）可以有效防止 SQL 注入攻击。

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class SQLInjectionExample {
    public static void main(String[] args) {
        String username = "test";
        String password = "password";
        try {
            // 连接数据库
            Connection conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/mydb", "root", "root");
            // 使用预编译语句
            String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
            PreparedStatement pstmt = conn.prepareStatement(sql);
            pstmt.setString(1, username);
            pstmt.setString(2, password);
            ResultSet rs = pstmt.executeQuery();
            if (rs.next()) {
                System.out.println("登录成功");
            } else {
                System.out.println("登录失败");
            }
            rs.close();
            pstmt.close();
            conn.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

（注：此代码使用的是 Java 技术栈，通过 PreparedStatement 来执行 SQL 查询，避免了 SQL 注入的风险）

4.2 输入验证

对用户输入进行严格的验证，只允许合法的字符和格式。可以使用正则表达式进行验证，例如：

import java.util.regex.Pattern;

public class InputValidationExample {
    public static boolean isValidUsername(String username) {
        String pattern = "^[a-zA-Z0-9]+$";
        return Pattern.matches(pattern, username);
    }
}

五、防止跨站脚本攻击（XSS）

5.1 输出编码

在将用户输入的数据输出到页面时，需要进行编码，防止恶意脚本的执行。在 JSP 中，可以使用 JSTL 的 <c:out> 标签进行输出编码。

<%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
<!DOCTYPE html>
<html>
<head>
    <title>XSS 防护示例</title>
</head>
<body>
    <h1>欢迎, <c:out value="${username}" /></h1>
</body>
</html>

5.2 设置 HTTP 头

设置 Content - Security - Policy（CSP）头可以限制页面可以加载的资源，防止 XSS 攻击。在 Tomcat 的 web.xml 文件中添加如下过滤器：

<filter>
    <filter-name>ContentSecurityPolicyFilter</filter-name>
    <filter-class>com.example.ContentSecurityPolicyFilter</filter-class>
    <init-param>
        <param-name>policy</param-name>
        <param-value>default-src 'self'; script-src 'self' 'unsafe-inline';</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>ContentSecurityPolicyFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter>

并且实现 ContentSecurityPolicyFilter 类：

import javax.servlet.*;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class ContentSecurityPolicyFilter implements Filter {
    private String policy;

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        policy = filterConfig.getInitParameter("policy");
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.setHeader("Content-Security-Policy", policy);
        chain.doFilter(request, response);
    }

    @Override
    public void destroy() {
        // 释放资源
    }
}

（注：上述代码使用的是 Java 技术栈，通过过滤器设置 CSP 头来防止 XSS 攻击）

六、防止拒绝服务攻击（DoS）

6.1 限制并发连接数

在 server.xml 的 Connector 节点中，可以通过 maxThreads 和 acceptCount 属性来限制并发连接数。

<Connector port="8080" protocol="HTTP/1.1"
           maxThreads="200"
           acceptCount="100"
           connectionTimeout="20000"
           redirectPort="8443" />

这里将最大线程数设置为 200，最大等待队列长度设置为 100。

6.2 配置请求过滤

可以使用 Tomcat 的阀门（Valve）来过滤恶意请求，例如阻止包含大量请求的 IP 地址。在 server.xml 的 Engine 或 Host 节点中添加 RemoteAddrValve：

<Host name="localhost"  appBase="webapps"
      unpackWARs="true" autoDeploy="true">
    <Valve className="org.apache.catalina.valves.RemoteAddrValve"
           allow="192.168.1.*" deny="1.2.3.4" />
</Host>

这里允许来自 192.168.1.* 网段的请求，拒绝来自 1.2.3.4 的请求。

七、应用场景

Tomcat 安全加固适用于各种 Web 应用场景，无论是小型企业网站、大型电商平台还是政府部门的政务系统。只要使用 Tomcat 作为 Servlet 容器，就需要对其进行安全加固，以保护用户的隐私和业务的正常运行。

八、技术优缺点

8.1 优点

安全性提升：通过上述安全加固措施，可以显著提高 Tomcat 服务器的安全性，有效防止常见的 Web 攻击。
开源免费：Tomcat 是开源软件，无需支付额外的授权费用，降低了企业的成本。
广泛支持：Tomcat 支持多种 Java Web 技术，如 Servlet、JSP 等，具有良好的兼容性和扩展性。

8.2 缺点

配置复杂：Tomcat 的安全配置涉及多个文件和参数，对于初学者来说可能比较复杂。
性能影响：一些安全措施，如输入验证和输出编码，可能会对系统性能产生一定的影响。

九、注意事项

备份配置文件：在进行任何配置更改之前，一定要备份相关的配置文件，如 server.xml、web.xml 等，以防配置错误导致服务器无法正常运行。
测试配置：在生产环境中应用新的安全配置之前，一定要在测试环境中进行充分的测试，确保配置的正确性和稳定性。
及时更新：及时更新 Tomcat 版本和相关的安全补丁，以修复已知的安全漏洞。

十、文章总结

Tomcat 安全加固是确保 Web 应用安全的重要措施。通过关闭不必要的服务和端口、使用安全的协议和加密、防止 SQL 注入、跨站脚本攻击和拒绝服务攻击等一系列措施，可以有效提高 Tomcat 服务器的安全性。同时，在实施安全加固时，要充分考虑应用场景、技术优缺点和注意事项，确保配置的正确性和稳定性。只有这样，才能为用户提供安全可靠的 Web 服务。

敲码拾光专注于编程技术，涵盖编程语言、代码实战案例、软件开发技巧、IT前沿技术、编程开发工具，是您提升技术能力的优质网络平台。