Tomcat安全加固需构建操作系统、JVM、应用三层隔离沙箱：系统层通过systemd限制权限与网络；JVM层启用SecurityManager并配置细粒度策略；应用层精简组件、强制认证、隐藏版本、禁用远程关闭端口，并实施用户分离与多实例隔离。

Tomcat 服务的安全加固，不是简单关掉几个端口或删掉示例应用，而是构建一套分层隔离的权限沙箱环境——从操作系统级进程沙箱，到 JVM 级 SecurityManager 控制，再到应用层访问约束，三者协同才能真正堵住常见攻击路径。

系统级：用 systemd 实现最小权限启动

即使 Tomcat 进程以 root 启动，也不意味着它该拥有全部系统权限。通过 systemd 单元配置可强制其“视而不见”关键路径：

• ProtectSystem=strict：让 /usr、/boot、/etc 只读，防止恶意覆盖二进制或配置文件
• PrivateTmp=yes：为 Tomcat 分配独立 /tmp 和 /var/tmp，避免临时文件被其他进程窥探或污染
• NoNewPrivileges=yes：禁止 execve() 提权（如运行 setuid 程序），切断本地提权链
• PrivateNetwork=yes：启用独立网络命名空间，仅保留 lo 接口，真实网卡和主机端口对其不可见
• RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6：显式放行所需协议族，禁用 AF_NETLINK 等高危类型
• CapabilityBoundingSet=CAP_NET_BIND_SERVICE：若需监听 80/443，只授此能力，不给 CAP_SYS_ADMIN

JVM 级：启用 SecurityManager 限制代码行为

当部署不可信 Web 应用（如允许用户上传 JSP 或 Servlet）时，SecurityManager 是最后一道防线：

• 在 catalina.sh 中添加：JAVA_OPTS="$JAVA_OPTS -Djava.security.manager -Djava.security.policy==/path/to/catalina.policy"
• 策略文件中按需授权，例如：permission java.net.SocketPermission "example.com:80", "connect";
• 禁止危险操作：permission java.lang.RuntimePermission "exitVM"; 阻止 System.exit(1) 类攻击
• 限制文件访问：permission java.io.FilePermission "/opt/tomcat/webapps/-", "read";，禁止写入或遍历上级目录

应用级：精简默认组件 + 强制认证 + 隐藏信息

生产环境必须剥离所有非必要暴露面，并确保剩余接口受控：

• 清空 webapps/ 下的 docs、examples、manager、host-manager 目录（或重命名后移出 webapps）
• 修改 conf/tomcat-users.xml，仅保留最小必需角色与强密码用户，禁用默认 admin/admin
• 在 conf/web.xml 中配置安全约束，例如限制 /manager/* 必须有 manager-gui 角色
• 隐藏版本号：修改 conf/server.xml 的 Server 标签，设 server=" " protocol=" " ；并修改 lib/catalina.jar 中的 ServerInfo.properties
• 关闭远程关闭端口：<server port="-1" shutdown="SHUTDOWN"></server>（port 设为 -1 即禁用）

运行时隔离：用户分离与多实例隔离

避免单点失陷导致全局沦陷，关键在于资源归属与边界清晰：

• 创建专用低权限用户（如 tomcat:tomcat），不赋予 shell 登录权限，所有 Tomcat 文件属主设为此用户
• 项目 war 包解压后的 webapps/ 目录属主应与 Tomcat 运行用户不同（如 app:app），防止 webshell 修改自身代码
• 多应用部署推荐多实例模式：每个实例独占 conf、logs、work、temp 目录，server.xml 中修改 Server port、Connector port、AJP port，避免端口冲突与配置混用