带你读《Apache Tomcat的云原生演进》——Securing Apache Tomcat（3）https://developer.aliyun.com/article/1377508
Tomcat提供了阀门和过滤器作为拦截和处理HTTP请求和响应的强大机制，它有助于实现各种安全措施，增强web应用程序的整体安全性。CORS过滤器根据配置的策略允许或拒绝跨域请求，防止未经授权的访问和跨域请求导致的潜在安全漏洞。
CSRF防止过滤器通过添加反CSRF令牌来防止跨站点请求伪造攻击，这样可以确保只处理来自应用程序的合法请求。HTTP报头安全过滤器允许管理员控制和执行与安全相关的HTTP报头，例如响应X-Content-Type-Options、X-Frame-Options、Content-Security-Policy等，并有助于防止点击劫持和mime类型的嗅探。
远程地址过滤器，远程CIDR过滤器，远程主机过滤器和远程IP过滤器，它们根据各自的类型限制传入请求。这在启用Tomcat自带的管理器应用程序时非常有用，例如，ErrorReport Valve是用来自定义错误消息来避免错误堆栈跟踪并向潜在攻击者披露敏感信息。
刚刚我提到过mTLS，为了节省时间，这里就不再重复了。速率限制可以用来控制来自客户端传入请求的速率，并避免任何DOS攻击的可能性。
会话管理包括处理用户会话，以维护请求之间的状态和用户数据。安全会话管理确保会话免受未经授权的访问，会话数据被安全处理以及被适当地失效。
将会话cookie定义为HTTP only，确保它们不能通过客户端脚本访问。设置会话cookie是安全的，可以确保它们只通过安全的https链接发送。配置的会话超时对于安全性至关重要，这样攻击者就无法劫持空闲会话。实现自定义会话监听器有助于监视与会话相关的事件，并可用于实施安全策略。
确保适当的会话失效对于在不再需要会话时终止会话至关重要。当用户注销或发生会话超时的时候，会话应该显式地失效。启用会话监视和审计提供了对会话活动的可见性，并有助于检测潜在的安全威胁。记录会话相关事件，如会话创建，修改和失效有助于识别可疑活动并支持事件相应工作。
带你读《Apache Tomcat的云原生演进》——Securing Apache Tomcat（5）https://developer.aliyun.com/article/1377505
