Tomcat 8.5 WEB-INF內容可訪問URL

Question

tomcat 8.5應用程序WEB-INF內容存在安全問題。 我不希望能夠通過url訪問WEB-INF的內容（即web.xml），但似乎可以訪問。 如何限制此訪問權限？ 我認為應該將其限制在外。 我使用的是Linux，用戶的權限為rw，組的權限為r。

任何建議表示贊賞。

Answer 1

通常，/ WEB-INF下的文件不能直接從外部訪問。 如果文件可訪問，則您的應用程序具有漏洞，如路徑遍歷。 一個簡單的解決方案是，例如，限制Apache在Tomcat前面對URL的訪問，包括WEB-INF。