Debian上Tomcat如何安全设置

Debian 上 Tomcat 安全设置清单

一 运行账户与最小权限

• 创建专用的系统账户运行 Tomcat，禁止登录：sudo adduser --system --group --shell /bin/false tomcat。
• 调整目录属主与权限（以 Debian 打包路径为例）：sudo chown -R tomcat:tomcat /var/lib/tomcat9 /var/log/tomcat9 /etc/tomcat9；sudo chmod -R 750 /var/lib/tomcat9。
• 配置服务以 tomcat 身份运行：编辑服务单元（如 /lib/systemd/system/tomcat9.service 或 /etc/systemd/system/tomcat9.service），设置 User=tomcat、Group=tomcat；如为手工安装的二进制包，同样在 systemd 服务里设置 User/Group 并指定 JAVA_HOME、CATALINA_HOME、CATALINA_BASE。
• 说明：Debian 打包版常见数据目录为 /var/lib/tomcat9，日志为 /var/log/tomcat9，配置为 /etc/tomcat9；手工安装常见为 /opt/tomcat。

二 最小化攻击面

• 删除示例与默认应用：rm -rf /var/lib/tomcat9/webapps/{docs,examples}；如不使用管理应用，建议直接删除或重命名 /var/lib/tomcat9/webapps/{manager,host-manager}。
• 修改默认端口：编辑 /etc/tomcat9/server.xml，将 HTTP Connector 的 port 改为非 8080（如 1234），redirectPort 保持 8443。
• 禁用 AJP（如不需要）：在 server.xml 中注释或删除 AJP Connector（port=8009）。
• 隐藏版本信息：在 server.xml 的 Connector 上添加 server=“YourServer” 属性，减少信息泄露。
• 关闭自动部署与目录浏览：在 Host 元素中设置 unpackWARs=“false”、autoDeploy=“false”，并确保没有启用目录列表（默认无索引页即不列目录）。

三 加密传输与访问控制

• 启用 HTTPS：在 server.xml 配置 8443 连接器，使用有效证书（生产环境优先使用 Let’s Encrypt 等可信 CA）。示例（JKS）：
  ；证书可用 OpenSSL 生成自签名用于测试。
• 防火墙与端口开放：使用 UFW 仅开放必要端口，例如 sudo ufw allow 1234/tcp、sudo ufw allow 8443/tcp、sudo ufw allow 22/tcp；生产环境建议仅允许管理网段访问管理端口。
• 基于 IP 的访问控制：在 Host 内添加 RemoteAddrValve 仅放行可信网段，例如 allow=“192.168.1.0/24,10.0.0.5”。
• 反向代理前置：用 Nginx/Apache 终止 TLS、承载静态资源并设置更细粒度的 IP/速率限制与 WAF 策略，Tomcat 仅监听本地或内网。

四 认证授权与会话安全

• 管理应用访问控制：如需保留 manager/host-manager，务必在 /etc/tomcat9/tomcat-users.xml 中创建强口令账户并最小化授权，仅授予必要角色（如 manager-gui、admin-gui）；更推荐直接禁用或仅在内网开放。
• 应用级安全约束：在应用的 web.xml 中使用 、 与 强制登录与角色校验。
• 会话与 Cookie：在 /etc/tomcat9/context.xml 为 Context 设置 useHttpOnly=“true”（必要时可加 secure=“true” 配合仅 HTTPS）；避免在 URL 中传递会话 ID，启用会话过期与并发控制。
• 错误与日志信息泄露：在 /etc/tomcat9/server.xml 的 Host 中配置 ErrorReportValve 的 showReport=“false”、showServerInfo=“false”，仅记录必要信息。

五 运维与持续加固

• 系统与组件更新：定期执行 sudo apt update && sudo apt upgrade（Tomcat 9 对应包名为 tomcat9），及时修补安全漏洞。
• 日志审计与监控：定期审阅 /var/log/tomcat9/catalina.out、localhost_access_log 等；可用 logwatch 做日常报表与异常告警。
• 变更与重启：每次修改 server.xml、tomcat-users.xml、context.xml 后执行 sudo systemctl restart tomcat9 并验证端口、证书与访问控制是否生效。
• 基线核查：确认仅开放必要端口、管理应用已最小化授权或禁用、运行账户为 tomcat 且为最小权限、启用了 HTTPS 与 IP 白名单。