在CentOS系统上部署Tomcat时，安全防护并非可选配置，而是必须提前落实的基础性保障。以下梳理的关键加固措施，每一项都经过了实际运维验证，缺少任何一项，都可能为攻击者留下可乘之机。
- 用户与权限管理
绝对不要使用root用户运行Tomcat，这是安全底线，也是基本常识。应单独创建专用的系统用户，仅赋予其读写Tomcat目录及相关配置文件的必要权限，其余系统权限一律回收。这样即使服务被攻破，攻击者也无法获取整个服务器的操作权限。 - 隐藏版本信息
攻击者通常会扫描你的Server头信息，一旦获取到具体版本号，就能快速定位已知漏洞进行攻击。因此，需要修改server.xml或ServerInfo.properties配置文件，将版本号信息隐藏起来——不要让服务器版本成为“明牌”。 - 关闭非必要服务与端口
自动部署功能虽然便利，但本质上相当于为攻击者敞开后门。在server.xml配置中，应将unpackWARs和autoDeploy参数均设置为false，同时建议将默认的8080端口修改为高位非标准端口——这样能大幅增加自动化扫描工具的成本。 - 配置SSL/TLS加密
以明文HTTP方式在公网上传输数据，无异于裸奔。建议生成自签名证书或从正规CA申请证书，并在server.xml中配置好HTTPS协议，确保所有通信数据都经过加密处理。这是对数据安全最起码的尊重和保障。 - 防火墙与访问控制
无论使用firewalld还是iptables，都必须严格限制Tomcat端口的访问来源——仅允许可信IP地址接入。对于管理后台（如/manager）更应通过RemoteAddrValve进行访问控制，只放行你明确授权的IP段。 - 安全加固与审计
日志文件平常可能无人关注，但在安全事件发生时却是关键线索。建议开启详细的访问日志和错误日志记录，并定期检查，留意是否存在异常请求或反复失败的登录尝试。此外，要及时更新Tomcat及其底层组件的安全补丁——许多零日漏洞其实早已得到修复，只是你尚未安装。 - 其他高级措施
如果具备足够的运维经验，可以配置安全管理器（Security Manager）来限制应用运行时的权限范围——例如禁止读写敏感目录、禁止执行特定系统命令。同时检查web.xml配置文件，确保已禁用目录列表功能（设置listings="false"），否则攻击者可以像浏览文件夹一样随意查看你的静态资源文件。
将这些措施组合应用，基本可以抵御绝大多数自动化扫描工具和常见攻击手段。当然，安全是一个持续对抗的过程，不存在所谓“一劳永逸”的配置方案——持续保持警惕、及时更新防护策略，才是真正的安全护城河。
