tomcat 要在发布时的安全设置

 一,如何让Tomcat记录客户端的访问日志
     1。修改Tomcat的conf/server.xml文件。
     2。加上Valve节点到server.xml文件中，和您目前使用的Connector的节点平级。
        如： <Valve className="org.apache.catalina.valves.AccessLogValve" 
        directory="e:/trs/trscds/tomcat/logs" pattern="combined"/>
     3。重新启动您的Tomcat
     4。有用户在访问的时候，在指定的log目录下面会生成一个access_log文件（每天一个）。 （可能会影响性能，不推荐大家使用）。

二.处理好Tomcat管理台的安全

Tomcat管理台的应用文件，默认在{Tomcat安装目录}/server/webapps下，有admin和manager两个应用。
其用户密码，在{Tomcat安装目录}/conf/tomcat-users.xml中定义。在{Tomcat安装目录}/webapps下
admin.xml和manager.xml文件定义了可以通过访问/admin和/manager进入。 
默认情况下，完全可以登录tomcat管理台，造成严重安全问题
检测办法：用IE打开链接http://[IP]:[Port]/admin，以用户名admin，密码为空登录，如果成功，
说明存在问题。
解决办法：可以删除{Tomcat安装目录}/webapps下admin.xml和manager.xml文件，或者去掉用户密
码，也可以删除应用文件。

三.运行错误网页

如果找不到网页即出现404错误，会显示服务器版本号，服务器配置也一目了然，
为了避免这种情况，希望自定义设置错误页面。 
设置如下： 
1、将附件的index.htm文件拷贝至/webapps/ROOT目录内，删除或改名原来的index.jsp文件。 
2、用记事本打开/conf/web.xml文件，在文件的倒数第二行（ </web-app>一行之前）加入以下内容： 
    <error-page>
      <error-code>404 </error-code>
      <location>/error_404.htm </location>
    </error-page>
四,tomcat文件列表
配置tomcat的conf/web.xml文件，搜索到
<init-param>
             <param-name>listings </param-name>
             <param-value>true </param-value>
         </init-param>
把true改成false