配置Tomcat下的web应用服务的安全权限

一：使用tomcat的Policy文件。

因为Tomcat就是用Java写的，所以也有像javapolicy一样的安全机制，它的Policy文件在Tomcat的安装目录下的conf目录下，名叫catalina.policy的文件。默认的情况下Tomcat的服务都是在非安全模式下运行的，那如何让tomcat服务在安全模式下运行呢，就是如何把Policy安全机制引用进去，大概有两种方式：

①：运行catalina.bat文件，后面加上“-security”参数。

②：运用tomcat提供的配置tomcat服务的图形化工具，即运行bin目录下的tomcat6w.exe，然后打开java的tab页，在java options输入域中加入下面的内容，然后重新启动tomcat服务。

-Djava.security.manager

-Djava.security.policy=%SECURITY_POLICY_FILE%

%SECURITY_POLICY_FILE%为catalina.policy文件所在磁盘的位置。

注意catalina.policy文件中的如下的注释：

// These permissions are granted by default to all web applications
// In addition, a web application will be given a read FilePermission
// and JndiPermission for all files and directories in its document root.

意思就不用说了！

二：配置Tomcat的web.xml文件，给http协议的请求添加安全权限

我们知道HTTP协议有很多请求方式，如put，get，delete，post等，但是像put这种方式就可以往服务器端添加文件，或修改服务器端文件的内容，这对web应用服务的安全性带来一定的影响，tomcat服务器也对其下的web应用程序也有这方面的安全保护，比如在tomcat的安装目录下的conf目录下的web.xml中加入如下内容，然后重新启动tomcat服务。

<security-constraint>
      <web-resource-collection>
  <!-- Define the context-relative URL(s) to be protected -->
         <url-pattern>/jsp/security/protected/*</url-pattern>
  <!-- If you list http methods, only those methods are protected -->
         <http-method>PUT</http-method>
      </web-resource-collection>
      <auth-constraint>
         <!-- Anyone with one of the listed roles may access this area -->
      </auth-constraint>
    </security-constraint>

    <!-- Default login configuration uses form-based authentication -->
    <login-config>
      <auth-method>BASIC</auth-method>
    </login-config>

这样就禁止了HTTP协议的put请求来访问tomcat站点下的所有web应用服务。同样的也可以在web应用服务下的web.xml中进行上面的配置，这时它的作用域只是针对该web应用程序。

更多tomcat中web.xml的配置参照：

http://www.blogjava.net/baoyaer/articles/107428.html

这里还向大家推荐一个工具，它是一种可以模拟浏览器发送HTTP请求的图形化工具，方便大家对配置的安全权限进行测试。

Fiddler下载：http://www.onlinedown.net/soft/73207.htm

Fiddler的使用：http://blog.sina.com.cn/s/blog_5077e9d00100bgdk.html

是不是已经按耐不住，想体验一把了！