Debian 上提升 Tomcat 安全性的实用清单
一 系统与运行环境加固
- 保持系统与应用为最新：执行 sudo apt update && sudo apt upgrade，及时修补漏洞。
- 以最小权限运行：创建专用系统用户（如 tomcat），禁止登录，使用 systemd 以该用户启动服务，避免以 root 运行。
- 目录与文件权限：将 CATALINA_HOME/CATALINA_BASE 属主设为 tomcat:tomcat，权限收紧为 750，仅保留必要可执行与配置文件的访问。
- 精简默认应用：删除 docs、examples、ROOT 等默认或示例应用，减少攻击面。
- 变更默认端口：在 /etc/tomcat9/server.xml 的 改为非标准端口（如 1234），降低自动化扫描命中率。
- 隐藏版本信息：在 server.xml 的 Connector 上设置 server=“YourSecureServer”，减少信息泄露。
- 禁用 AJP（如未使用）：注释或删除 8009/AJP 连接器，避免与旧式前端（如 Apache mod_jk）相关风险。
- 防火墙最小化放行：仅开放必要端口（如 1234/TCP、8443/TCP），对管理口实施来源 IP 白名单。
- 日志与审计：集中收集与定期审计 /var/log/tomcat9/，可用 logwatch 做日常报表与异常巡检。
二 连接器与加密通信
- 启用 HTTPS/TLS：在 server.xml 配置 8443 连接器，使用 NIO 或 NIO2，仅启用 TLS，并配置强加密套件与协议。
- 证书管理：优先使用 Let’s Encrypt 获取免费证书，证书与私钥妥善保护，避免将明文密码写入配置。
- 连接器示例（按需调整参数）：
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="/etc/ssl/tomcat/keystore.jks"
keystorePass="ChangeMe"
ciphers="TLS_AES_128_GCM_SHA256,TLS_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
sslEnabledProtocols="TLSv1.2,TLSv1.3"/>
- 强制跳转：将 8080 的 redirectPort 指向 8443，并在应用中统一使用 https:// 访问。
- 证书轮换：建立证书到期监控与自动续期流程，避免过期导致服务中断。
三 身份鉴别与访问控制
四 应用与运行时安全
- 安全开发基线：对所有上线的 WAR 包进行依赖漏洞扫描（如 OWASP Dependency-Check）、静态代码扫描与渗透测试，修复 SQL 注入、XSS、文件上传 等常见漏洞。
- 内容安全策略（CSP）、HTTP 严格传输安全（HSTS）、X-Frame-Options、X-Content-Type-Options 等响应头在应用中启用，降低浏览器端攻击风险。
- 禁用不必要功能：关闭 PUT/DELETE 等危险方法（在 web.xml 的 中限制），限制大请求体与上传类型。
- 会话管理：启用 HttpOnly、Secure 标记，设置合理 sessionTimeout，对敏感操作使用一次性令牌（CSRF 防护）。
- 错误与调试：生产环境关闭 stack trace 与详细错误信息回显，避免信息泄露。
- 内存与线程：为连接器设置合理的 maxThreads，避免资源被耗尽；JVM 参数开启 -Djava.security.egd=file:/dev/./urandom 加速启动并减少弱随机性依赖。
五 运维与持续监控
- 变更与回滚：所有配置变更走 版本化（如 Git），变更前备份 server.xml、web.xml、tomcat-users.xml，变更后在维护窗口滚动发布并回滚演练。
- 更新策略：为 Debian 安全源 与 Tomcat 建立更新流程与监控告警，高危漏洞触发紧急变更。
- 日志集中与告警：将 catalina.out、localhost_access_log 接入集中日志平台，基于关键字（如 401/403/500、java.lang.OutOfMemoryError）设置告警。
- 基线巡检：定期核查开放端口、运行进程、用户与证书有效期，形成月度/季度安全报告。
- 备份与演练：对 conf、webapps、证书与密钥 做离线/异地备份，定期演练恢复流程。