tomcat - 安全约束套管问题中的 url 模式

Question

我可以使用 tomcat 中的安全约束来锁定特定资源。但它只使用指定的确切大小写来锁定路径。我仍然可以通过更改大小写访问资源(文件)。

处理这个问题的最佳方法是什么？

Answer 1

默认情况下，Tomcat 强制对资源进行区分大小写的访问(即使在不区分大小写的文件系统(如 Windows)上)，因此更改大小写绝不允许您绕过安全限制。我可以想到这可能发生的几种方式:

1. 您忽略了文档中的安全警告，并在不区分大小写的文件系统上将 allowLinking 设置为 true。

2. 您在 Tomcat 前面使用了反向代理，并且配置了绕过安全约束的方式(如果您配置了反向代理，我们需要知道是哪个反向代理以及它是如何配置的进一步提供帮助)。