tomcat - Tomcat 安全管理器是否值得 1 个管理框

Question

我正在开发一个大量使用 Spring 的应用程序。 Spring 和 Tomcat 安全管理器需要相当多的配置才能工作。

Tomcat 安全管理器的文档表明它是为了防止部署者放置在服务器上的恶意代码。如果我是唯一有权管理服务器和部署代码的人，那么 Tomcat 安全管理器只是在保护我自己。

Tomcat Security Manager在这种场景下有什么用处吗？

提前致谢。

Answer 1

从实用的角度来说，没有。如果您的服务器受到充分保护(即在防火墙后面，为 tomcat 安装目录分配了适当的文件权限，tomcat 进程未以 root/管理员身份运行，您控制部署的内容等)，那么它不是。

但是，如果这些问题中有超过 1 个的答案是否定的，那么您应该尽一切努力使尽可能多的答案是肯定的(这通常更容易)或配置和激活安全管理器(这是一个巨大的痛苦)。