tomcat限制ip訪問

context元素添加

<Context>

<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="127.0.0.1" deny=""/>
</Context>

若不加allow默認限制所有ip訪問

 

若不加<Value>元素默認不限制ip

 

 

 

context.xml中<t0omcat-users>節點添加

<role rolename="tomcat"/><!-- 普通角色 -->
<role rolename="role1"/><!-- 普通角色 -->
<role rolename="manager-gui"/><!-- 允許manager-app -->
<role rolename="admin-gui"/><!-- 允許host-manager，server status -->
<user username="both" password="tomcat" roles="tomcat,role1,manager-gui,admin-gui"/>
<user username="role1" password="tomcat" roles="role1"/>

 如果沒有配置用戶名和密碼，或者你沒有給所創建的用戶以正確的角色（比如有進入tomact管理界面權限的角色） 那么是沒辦法進入tomact管理界面的，因此當掃描程序進行嘗試的時候，一旦每輸入5次以上，或者缺省的時候，就會報一次警告。

1在最近工作中遇到了一個問題，就是在項目啟動的時候，會不斷出現an attempt was made to authenticate the locked user  這個警告，中文翻譯為試圖驗證被鎖住的用戶。那么我在接下來的分析中，這個警告的出現的可能的原因：


1  tomact在service.xml 文件中有配置tomact管理員的角色以及登陸管理員的賬戶，在黑客用掃描程序，進行掃描的時候，會不斷嘗試進行登陸tomact管理界面的操作，那么黑客這樣做的原因是什么呢？其實，這樣做 就是想嘗試登陸tomact的管理員的界面，然后通過管理員界面把自己的木馬和病毒上傳到企業的應用的服務器上，以此來達到攻擊在服務器上的應用，或者不斷請求自己在服務器上上傳的項目，以此使承載着正常的應用服務器達到峰值，從而使正常應用無法進行正常工作。那么回歸到上面所說的問題：如果在tomact的service.xml文件中沒有配置用戶名和密碼，或者你沒有給所創建的用戶以正確的角色（比如有進入tomact管理界面權限的角色） 那么是沒辦法進入tomact管理界面的，因此當掃描程序進行嘗試的時候，一旦每輸入5次以上，或者缺省的時候，就會報一次警告。


2  解決tomact配置管理員賬號和密碼。

   如果你要配置管理員賬號和密碼，在tomact8.0中，要把所有的配置都放上去，這樣才能進入。把一下代碼加入到service.xml中

<role rolename="admin-gui"/>
<role rolename="admin-script"/>
<role rolename="manager-gui"/>
<role rolename="manager-script"/>
<role rolename="manager-jmx"/>
<role rolename="manager-status"/>
<user username="system" password="password" roles="manager-gui,manager-script,manager-jmx,manager-status,admin- script,admin-gui"/>

 

 

 

文章出自：http://www.365mini.com/page/tomcat-manager-user-configuration.htm

Tomcat Manager是Tomcat自帶的、用於對Tomcat自身以及部署在Tomcat上的應用進行管理的web應用。Tomcat是Java領域使用最廣泛的服務器之一，因此Tomcat Manager也成為了使用非常普遍的功能應用。

在默認情況下，Tomcat Manager是處於禁用狀態的。准確地說，Tomcat Manager需要以用戶角色進行登錄並授權才能使用相應的功能，不過Tomcat並沒有配置任何默認的用戶，因此需要我們進行相應的用戶配置之后才能使用Tomcat Manager。

Tomcat Manager的用戶配置是在Tomcat安裝目錄/conf/tomcat-users.xml文件中進行管理的。

Tomcat Manager的用戶配置非常簡單，下面我們以一個具體的配置為例：

<tomcat-users>
<role rolename="manager-gui"/>
<role rolename="manager-script"/>
<user username="tomcat" password="tomcat" roles="manager-gui"/>
<user username="admin" password="123456" roles="manager-script"/>
</tomcat-users>
如上所示，我們只需要在tomcat-users節點中配置相應的role(角色/權限)和user(用戶)即可。一個user節點表示單個用戶，屬性username和password分別表示登錄的用戶名和密碼，屬性roles表示該用戶所具備的權限。

user節點的roles屬性值與role節點的rolename屬性值相對應，表示當前用戶具備該role節點所表示的角色權限。當然，一個用戶可以具備多種權限，因此屬性roles的值可以是多個rolename，多個rolename之間以英文逗號隔開即可。

稍加思考，我們就應該猜測到，rolename的屬性值並不是隨意的內容，否則Tomcat怎么能夠知道我們隨便定義的rolename表示什么樣的權限呢。實際上，Tomcat已經為我們定義了4種不同的角色——也就是4個rolename，我們只需要使用Tomcat為我們定義的這幾種角色就足夠滿足我們的工作需要了。

以下是Tomcat Manager 4種角色的大致介紹(下面URL中的*為通配符)：

manager-gui
允許訪問html接口(即URL路徑為/manager/html/*)
manager-script
允許訪問純文本接口(即URL路徑為/manager/text/*)
manager-jmx
允許訪問JMX代理接口(即URL路徑為/manager/jmxproxy/*)
manager-status
允許訪問Tomcat只讀狀態頁面(即URL路徑為/manager/status/*)
從Tomcat Manager內部配置文件中可以得知，manager-gui、manager-script、manager-jmx均具備manager-status的權限，也就是說，manager-gui、manager-script、manager-jmx三種角色權限無需再額外添加manager-status權限，即可直接訪問路徑/manager/status/*。