Linux服务器上Ja va安全配置清单
一 基础环境与运行账户
- 保持 JDK/JRE 为受支持的最新版本，及时获取安全补丁与漏洞修复；在 Linux 服务器环境中，建议优先通过包管理器安装并定期升级，避免继续使用已停止维护的旧版本。
- 使用 非 root 的专用系统账户运行 Ja va 进程（如创建 ja vauser），严格遵循最小权限原则，降低服务被入侵后的系统风险。
- 正确配置 JA VA_HOME 与 PATH，防止路径劫持、命令误调用以及运行环境混乱等安全问题。
- 示例：创建用户并以该用户启动
- 创建用户：
sudo adduser ja vauser - 切换运行：
sudo -u ja vauser ja va -jar your-app.jar
以上做法能够有效减少服务被攻破后的横向移动权限，并缩小对 Linux 系统的破坏范围。
- 创建用户：
二、JVM与Ja va运行时安全参数的那些事儿
- 内存与稳定性
- 设置堆大小：
-Xms与-Xmx（如-Xms256m -Xmx512m），避免 Ja va 进程无限制占用内存，导致 OOM 或影响服务器整体稳定性。 - 开启故障诊断：
-XX:+HeapDumpOnOutOfMemoryError、-XX:HeapDumpPath=/var/log/heapdumps，便于后续排查内存溢出与性能异常问题。 - 错误处置：
-XX:OnOutOfMemoryError="kill -9 %p"或执行告警脚本，避免出现持续占用资源的“僵尸进程”。
- 设置堆大小：
- 熵源与启动
- 加快启动速度并减少阻塞风险：
-Dja va.security.egd=file:/dev/./urandom（注意使用“/./”绕过 JVM 内置过滤），这也是 Linux 服务器上常见的 Ja va 安全优化参数。
- 加快启动速度并减少阻塞风险：
- 安全策略
- 启用安全管理器：
-Dja va.security.manager -Dja va.security.policy=/opt/app/policy.txt（按需进行最小授权），进一步限制应用运行权限。
- 启用安全管理器：
- 示例（可写入 setenv.sh 或 systemd ExecStart 前）：
JA VA_OPTS="-server -Xms256m -Xmx512m -XX:+HeapDumpOnOutOfMemoryError -XX:HeapDumpPath=/var/log/heapdumps -Dja va.security.egd=file:/dev/./urandom"
以上参数有助于控制资源消耗、提升问题可观测性，并降低 Ja va 应用在 Linux 上被滥用的风险。
三 网络与传输安全
- 强制 TLS/HTTPS：在 Tomcat 等 Ja va 容器中正确配置 SSL/TLS，关闭明文传输端口；仅启用 TLSv1.2+，禁用 SSLv3/TLSv1.0/TLSv1.1，提升传输链路安全性。
- 示例（Tomcat server.xml Connector）：
- 协议与算法
- 使用 TLS 保护传输过程中的数据安全；对于静态数据加密，优先选择 AES-128/256，并结合完善的密钥管理机制实施。
- 边界与访问控制
- 通过 firewalld/iptables/ufw 仅开放业务必需端口（如 443/8443），同时对运维管理端口限制来源网段，减少暴露面。
- 示例（firewalld）：
firewall-cmd --permanent --add-service=https && firewall-cmd --reload
以上措施可确保 Linux 服务器上的 Ja va 服务在网络边界与数据传输层面获得更完善的保护。
四 应用容器与代码层加固
- 容器与框架
- Tomcat：禁用目录列表功能（在应用的 web.xml 中使用
- 移除或禁用不再使用的组件（如 Ja va Web Start、浏览器插件等），尽可能减少系统攻击面。
- Tomcat：禁用目录列表功能（在应用的 web.xml 中使用
- 代码层
- 使用 PreparedStatement 防御 SQL 注入；对输出内容进行适当编码以避免 XSS；对敏感信息做好加密存储与安全传输。
- 依赖与漏洞治理
- 定期更新依赖组件，借助 OWASP Dependency-Check 等工具扫描第三方库漏洞，并及时完成修复与替换。
以上做法能够覆盖常见 Web 容器安全风险以及代码注入类漏洞，是 Ja va 应用安全加固的重要环节。
- 定期更新依赖组件，借助 OWASP Dependency-Check 等工具扫描第三方库漏洞，并及时完成修复与替换。
五 系统与运维安全
- 资源与权限隔离
- 通过 ulimit 限制进程资源使用（如打开文件数、地址空间等），防止资源耗尽型攻击、异常流量冲击或误操作影响系统稳定。
- 示例（/etc/security/limits.conf）：
ja vauser soft nofile 1000ja vauser hard nofile 2000ja vauser soft as 512Mja vauser hard as 1024M
- 强制访问控制
- 启用并保持 SELinux 为 enforcing 模式，按需编写安全策略，避免直接执行
setenforce 0或长期关闭 SELinux。
- 启用并保持 SELinux 为 enforcing 模式，按需编写安全策略，避免直接执行
- 持续维护
- 定期更新 操作系统与 Ja va；集中收集、留存并审计 应用与系统日志；针对配置变更开展灰度发布与回滚演练。
以上措施可提升 Linux 服务器与 Ja va 应用在系统层面的隔离能力、可审计性与持续运维安全性，形成更加完整的安全闭环。
- 定期更新 操作系统与 Ja va；集中收集、留存并审计 应用与系统日志；针对配置变更开展灰度发布与回滚演练。
