tomcat - 限制 Tomcat 中的文件访问

Question

我们的产品存在严重的安全问题，该产品运行在监听端口 80 和 443 的 apache tomcat 服务器上。这些端口上传入的 HTTP/HTTPS 数据包的路由由我们的产品类配置，无法确保每个请求URL 指的是一个文件，该文件位于服务器的 Web 根目录中，并且属于允许提供的类型。

特别是，在 url 中匹配 '/error/*' 的数据包被配置为使用 'docroot' 文件夹作为服务文件的文档根目录。因此，也可以访问和下载使用 URL 编码反斜杠 %5C 遍历/error/(即 docroot)目录的路径。例如，远程用户可以提供一个 url，如 –

    https://MyDomain/error/..%5c..%5csettings.properties  

访问与docroot同级的远程文件settings.properties。我们正试图通过防火墙规则和网络分段来克服这个问题。但是tomcat中有没有设置可以用来防止远程用户访问项目根文件夹之外的文件。那将非常有用。

Answer 1

如果要限制对某些文件的直接URL访问，将它们放在WEB-INF目录下。

引自此处(注意:以下 URL 当前不可用):
http://www.servletworld.com/servlet-tutorials/web-application-directory-structure.html

Root directory contains a directory named WEB-INF. Anything under theroot directory excepting the WEB-INF directory is publiclyavailable, and can be accessed by URL from browser.

WEB-INF directory is a private area of the web application, any files under WEB-INFdirectory cannot be accessed directly from browser by specifying theURL like http://somesite/WEB-INF/someresource.html. Web container willnot serve the content of this directory. However the content of theWEB-INF directory is accessible by the classes within the application.So if there are any resources like JSPs or HTML document that youdon’t wish to be accessible directly from web browser, you shouldplace it under WEB-INF directory.