在CentOS上跑Tomcat，安全这事儿可不能掉以轻心。攻击者总在寻找那些配置疏忽的服务器，一个不小心，你的应用和数据就可能暴露在风险之下。好在，通过一系列系统性的加固措施，我们可以为Tomcat构建起一道坚实的防线。

下面，我们就从最基础的配置开始，一步步拆解如何让你的Tomcat服务器变得更“硬核”。

1. 基础安全配置

千里之堤，溃于蚁xue。安全加固的第一步，往往是从清理那些容易被忽视的“默认项”开始的。

• 删除不必要的文件和目录：

  • Tomcat安装完成后，webapps目录下那些自带的示例应用，比如docs、examples、manager等，最好第一时间清理掉。这些应用可能包含已知漏洞，是攻击者最喜欢的目标。
  • 同样，conf/tomcat-users.xml文件里默认的用户和权限配置，如果暂时用不到，建议全部注释掉或删除，避免留下不必要的访问入口。

• 修改默认端口：

  • 使用8080、8009这些默认端口，无异于在网络上“亮明身份”，自动化的扫描工具会第一时间找上门。将其修改为一个不常见的高位端口，能有效降低被“广撒网”式扫描发现的概率。

• 隐藏Tomcat版本信息：

  • 攻击者常常根据服务器返回的版本信息，来匹配已知的漏洞库。通过修改lib/catalina.jar中的org/apache/catalina/util/ServerInfo.properties文件，或者自定义错误页面，可以隐藏或混淆这些信息，增加攻击者的识别难度。

2. 用户和权限管理

权限最小化原则，是安全领域的黄金法则。让Tomcat在“笼子”里运行，即使被攻破，损失也能被控制在最小范围。

• 创建专用用户：

  • 绝对不要使用root用户来启动Tomcat。应该创建一个专用的、权限受限的系统用户（例如tomcat），并用这个用户来运行服务。
  • 同时，要精确控制这个用户的文件系统访问权限。确保它只能读写Tomcat安装目录、日志目录等必要路径，而对/etc、/usr等系统关键目录只有读取或完全无权限。

3. 防火墙配置

防火墙是你的第一道网络关卡。它决定了谁能敲响你的服务器大门。

• 配置防火墙：

  • 无论是传统的iptables还是新的firewalld，都要设置严格的规则。理想情况下，只允许特定的、可信的IP地址或IP段访问Tomcat的服务端口（如你修改后的HTTP端口和AJP端口）。
  • 防火墙规则不是一劳永逸的。随着业务变化和威胁演进，需要定期审查和更新这些规则，确保它们始终符合当前的安全策略。

4. 加密通信

当数据在网络上裸奔时，窃听和篡改就变得轻而易举。加密通信是为数据穿上“防弹衣”。

• 启用SSL/TLS：

  • 对于任何涉及敏感信息传输的服务（尤其是管理后台），必须配置SSL/TLS。这能有效防止登录凭证、会话Cookie等关键数据在传输过程中被截获。
  • 使用由可信证书颁发机构（CA）签发的证书，并关注证书的有效期。及时更新过期证书，并关注加密套件的安全性，禁用那些已被证明不安全的旧协议（如SSLv2, SSLv3）和弱加密算法。

5. 定期更新和打补丁

软件漏洞是攻击者最锋利的矛。保持软件更新，就是不断加固你的盾。

• 及时更新Tomcat：

  • 密切关注Apache Tomcat官方发布的安全公告。一旦有新的安全补丁发布，应在测试环境验证后，尽快安排生产环境的更新。
  • 同样，运行Tomcat所依赖的JRE/JDK，以及底层的CentOS系统，也需要定期进行安全更新。一个过时的系统库，可能成为整个防御体系的短板。

6. 安全审计和监控

没有监控的安全是“盲安全”。日志是你了解服务器健康状况和异常行为的“黑匣子”。

• 日志管理：

  • 在conf/logging.properties中配置详细的日志级别，确保访问日志、错误日志都能记录足够的信息。定期（例如每天）检查这些日志，寻找失败的登录尝试、异常的请求模式等攻击迹象。
  • 对于规模较大的环境，可以考虑部署SIEM（安全信息和事件管理）系统，将Tomcat日志与其他系统日志（如操作系统日志、网络设备日志）进行关联分析，从而更早地发现复杂的、跨系统的攻击行为。

7. 应用程序安全

Tomcat本身安全了，上面跑的应用也不能成为突破口。需要从部署机制和代码层面双重把关。

• 关闭自动部署：

  • 在生产环境中，务必在conf/server.xml的Host配置中，将autoDeploy和unpackWARs属性设置为false。这能防止攻击者通过上传恶意WAR文件实现自动部署。
  • 部署到Tomcat上的Web应用本身，也应定期进行安全扫描和代码审计。可以使用OWASP ZAP、Fortify等工具来发现SQL注入、跨站脚本（XSS）等常见漏洞。

8. 会话管理

会话是用户身份的凭证，保护好它至关重要。

• 设置HttpOnly Cookie：

  • 在conf/context.xml的标签中添加useHttpOnly="true"。这个设置可以阻止客户端的Ja vaScript代码访问会话Cookie，从而有效缓解跨站脚本攻击（XSS）导致的会话劫持风险。

说到底，服务器安全是一个持续的过程，而非一次性的任务。上述这些措施构成了一个立体的防御体系，能显著提升Tomcat的抗攻击能力。但切记，没有百分之百的安全。除了实施这些配置，定期进行漏洞扫描、渗透测试和安全审计，并建立应急响应预案，才能确保你的防护措施始终有效，在真正的威胁来临时从容应对。