Tomcat 8.5 WEB-INF内容可访问URL

Question

tomcat 8.5应用程序WEB-INF内容存在安全问题。 我不希望能够通过url访问WEB-INF的内容（即web.xml），但似乎可以访问。 如何限制此访问权限？ 我认为应该将其限制在外。 我使用的是Linux，用户的权限为rw，组的权限为r。

任何建议表示赞赏。

Answer 1

通常，/ WEB-INF下的文件不能直接从外部访问。 如果文件可访问，则您的应用程序具有漏洞，如路径遍历。 一个简单的解决方案是，例如，限制Apache在Tomcat前面对URL的访问，包括WEB-INF。