tomcat - 如何配置 jboss/tomcat 以防止日志文件中出现 j_password 纯文本内容

Question

有没有办法配置 Jboss/Tomcat 以防止日志文件中出现 j_password (JAAS) 纯文本内容？

(23:03:24,141 DEBUG [org.apache.tomcat.util.http.Parameters] (http-localhost-127.0.0.1-8080-3) 开始处理输入 [j_username=username&j_password=123easy]

这可能看起来很令人担忧，但即使是服务器管理员也不应该仅仅通过更改级别日志就能够访问 secret 信息。

Answer 1

虽然我可能同意这是 Tomcat 中的错误，但其他人可能会将其视为有用的调试功能。

为避免启用此输出，在所有情况下都应避免在功能服务器上为根记录器启用 DEBUG!以编程方式，这可以根据您的需要进行定制:

        LogManager.getLogger("com.myCompanyHere").setLevel(DEBUG);

这会启用 DEBUG，但仅在您控制的类上!在属性或 xml 文件中，可以通过使用您自己的附加程序并设置级别以避免不受您控制的类来完成相同的操作。