jsp - Tomcat中有没有目录权限设置来防止jsp运行？

Question

例如，这是目录结构(Tomcat appBase 是/home/user/webapps/):

/home/user/webapps/index.jsp
/home/user/webapps/file/
/home/user/webapps/upload/

是否可以阻止Tomcat在文件/-和上传/-中运行jsps？

例如文件已经上传到/file/目录:

http://mysite.com/file/test.jsp (not OK, jsp won't be executed)
http://mysite.com/file/test.png (OK)

我检查并尝试了 catalina.policy 和 WEB-INF/web.xml 安全约束，但没有成功。

我已经在我的上传 servlet 中阻止了非法文件类型，但我有这个问题，因为有人可能通过其他方式(如 FTP)上传 jsp 文件。

非常感谢您。

Answer 1

通过查看您提供的路径，您似乎将 jsp 文件直接放在 webapps 目录下，该目录是预期的 web 应用程序。

您的 jsp 文件不是应用程序的一部分吗？

如果你想限制所有的 JSP 文件，这样它们就不能从浏览器直接使用 url 访问，那么你可以把所有的 JSP 和任何你想保护的东西放在 WEB-INF 文件夹。放在WEB-INF中的资源不能直接访问。

如果你想应用 security-constraint 那么你也可以根据 url 模式保护你的资源。你会在这里找到很好的信息 http://docs.oracle.com/cd/E19798-01/821-1841/bncbk/index.html