Ubuntu 上部署的 JSP 应用可从系统、容器、网络、应用四个层面进行加固，以下清单可直接落地执行。
一 系统与运行环境加固
- 运行身份与权限
- 创建专用系统用户（如：tomcat）运行服务，禁止以 root 直接启动；为应用目录设置最小权限，分离代码、配置、日志目录的所有权与权限。示例：仅允许属主读写执行，组只读，其他无权限（如 750/640）。
- 组件与系统更新
- 保持 Ubuntu、OpenJDK、Tomcat 及依赖库为最新稳定版，及时修补安全漏洞；启用自动安全更新或制定定期更新流程。
- 防火墙与端口
- 仅开放必要端口（如 80/443），关闭管理端口对外暴露；使用 UFW 或 firewalld 实施白名单策略。
- 访问控制与强制访问控制
- 启用 AppArmor/SELinux 对 Tomcat 进程进行域隔离与权限约束；限制外网对管理接口的访问，必要时仅内网可达。
二 Tomcat 与 JSP 容器安全配置
- 管理接口安全
- 修改 /etc/tomcat9/tomcat-users.xml，仅授予必要角色（如 manager-gui/admin-gui），使用强口令并限制来源 IP；或禁用管理应用对外网开放。
- 连接器与协议
- 禁用不必要的 AJP 连接器；若使用 HTTP 连接器，建议在前端以 Nginx/Apache 终止 TLS，Tomcat 仅处理应用层请求。
- 加密与传输
- 全站启用 HTTPS/TLS，优先采用 Let’s Encrypt 证书与 Certbot 自动化签发与续期；在反向代理中正确设置 X-Forwarded-Proto 等头，确保应用识别 HTTPS。
- 错误与信息泄露
- 配置自定义错误页面，禁止向用户暴露 堆栈跟踪、数据库错误、服务器路径 等敏感信息；开发/测试与生产环境分离日志级别。
- 会话管理
- 启用 Secure、HttpOnly、SameSite 属性的会话 Cookie；设置合理会话超时；使用强随机 Session ID，防范会话固定与劫持。
三 网络与反向代理安全
- 反向代理与静态资源
- 使用 Nginx 作为反向代理：对外提供 80/443，对内 proxy_pass http://127.0.0.1:8080；开启 GZIP、静态资源缓存与请求限速，降低后端压力与攻击面。
- 虚拟主机与访问控制
- 在 server.xml 中配置多个 实现多站点；结合 RemoteAddrValve 按 IP 限制管理路径或敏感主机的访问来源。
- 安全头与内容安全
- 在反向代理或应用中设置关键安全头：如 Content-Security-Policy（CSP）、X-Frame-Options、X-Content-Type-Options、Strict-Transport-Security（HSTS），减少 XSS、点击劫持、MIME 嗅探 等风险。
四 应用代码与认证授权安全
- 输入校验与输出编码
- 对所有用户输入执行白名单校验与参数化查询，杜绝 SQL 注入；在 JSP 中使用 JSTL/EL 输出并对动态数据进行 HTML/JS/CSS 转义，避免 XSS。
- 会话与认证
- 登录采用 强口令策略 与 验证码/限流；关键操作使用 CSRF 令牌；对管理后台实施 强认证（如 Basic/Digest 或基于令牌的认证），并在反向代理或过滤器中校验凭据与权限。
- 示例 自定义认证过滤器（Basic 认证）
- 过滤器从 Authorization 头解析 Base64 凭证，校验通过后放行，否则返回 401 Unauthorized；在 web.xml 中将该过滤器映射到受保护路径（如 /admin/）。注意：示例仅为演示，生产环境应使用更安全的存储与传输方案（如 HTTPS + 服务端会话）。
五 运维监控与合规
- 日志与审计
- 集中收集 Tomcat 访问日志、应用日志与系统日志，对登录失败、权限异常、异常流量设置告警；定期审计日志与配置变更，保留合规所需周期。
- 备份与恢复
- 对 WAR 包、配置、证书、数据库 实施定期离线/异地备份，并进行恢复演练；变更前先备份并评估回滚方案。
- 例行巡检
- 建立基线（开放端口、进程、账户、定时任务、内核参数等），每周巡检并修复偏差；对公网暴露面进行周期性漏洞扫描与渗透测试。