打造安全的Tomcat服务器

(3).禁止列表

　　我们知道在IIS中如果设置不当，就会列出Web当前目录中的所有文件，在Tomcat也不例外。如果浏览者可以在客户端浏览Web目录，那将会存在较大的安全隐患，因此我们要确认Tomcat的设置中禁止列目录。设置文件是web.xml，也在conf目录下。用记事本打开该文件，搜索init-param在其附近找到类似如下字段：　　


<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>　　
　　确认是false而不是true。(图9)

(4).用户管理

　　Tomcat的后台管理员为admin并且默认为空密码，安全期间我们需要修改该默认的用户名并为其设置健壮的密码。其配置文件为tomcat-users.xml，用记事本打开该文件然后进行修改。其中role标签表示其权限，manager说明是管理员权限;user标签表示后台管理用户，可以看到用户名为admin，我们可以将其修改为一个陌生的用户;可以看到password后面为空密码，我们可以为其设置一个复杂的密码。最后修改配置完成的tomcat-users.xml文件为：　
<?xml version='1.0' encoding='utf-8'?>
<tomcat-users>
  <role rolename="manager"/>
  <role rolename="admin"/>
  <user username="gslw" password="test168" roles="admin,manager"/>
</tomcat-users>
　　(图10)

(5).错误页面

　　Tomcat不像IIS提供了各种类型的错误页，如果Tomcat发生错误就会显示千篇一律的错误页面。其实我们可以通过修改其配置文件，从而自定义设置其错误页面的显示。打开web.xml文件，在最后一行的之前添加如下的语句：　　
<error-page>   
          <error-code>401</error-code>   
          <location>/401.htm</location>   
      </error-page>   
      <error-page>   
          <error-code>404</error-code>   
          <location>/404.htm</location>   
      </error-page>   
      <error-page>   
          <error-code>500</error-code>   
          <location>/500.htm</location>   
      </error-page>


　　当然，仅仅设置这样的语句还不行，需要创建相应的401.htm、404.htm、500.htm这样的文件才行。另外，要把错误页面文件放到webapps\manager目录中，否则需要在web.xml中指定其路径，最后的效果如图11所示。(图11)

总结：Tomcat不同于IIS，其配置没有图形界面，而是通过修改配置文件来完成的。不过，正因为如此用户有更多的自主性，可以根据自己的需要进行扩展。而且其与Apache可以无缝结合，打造安全、强大的Web服务器。