知识大全 Tomcat 7 的七大新特性

Posted 2022-07-18 文件

篇首语：如果，不能运气爆棚。那就，努力实力过人。本文由小常识网(cha138.com)小编为大家整理，主要介绍了知识大全 Tomcat 7 的七大新特性相关的知识，希望对你有一定的参考价值。

Tomcat 7 的七大新特性 以下文字资料是由(全榜网网www.cha138.com)小编为大家搜集整理后发布的内容，让我们赶快一起来看一下吧！

　　Tomcat 引入了许多新功能并对现有功能进行了增强很多文章列出了Tomcat 的新功能但大多数并没有详细解释它们或指出它们的不足或提供代码示例本文将明确描述Tomcat 中七个最显著的特征和新增的功能并对其作出评论而不是仅仅列出新的功能本文还提供了代码例子以方便你可以对其有更好的理解

　　本文分为两个部分分别是 Tomcat 的新特性和 Tomcat 增强的功能

　　Tomcat 新特性

　　使用随机数去防止跨站脚本攻击;

　　改变了安全认证中的jessionid的机制防止session攻击;

　　内存泄露的侦测和防止;

　　在war文件外使用别名去存储静态内容;

　　Tomcat 的增强功能

　　对Servlet JSP 和JSP EL 的支持;

　　更容易将Tomcat内嵌到应用去中去比如JBoss;

　　异步日志记

　　根据Mark Thomas Tomcat 委员会的经理的说法 Tomcat 最显著的三个特征是Servlet 内存检测泄露和增强的安全特性

　　Tomcat 的例子程序中包含了Eclipse的工程文件和Ant的构建文件以方便去构建war文件其中Eclipse工程文件有例子代码描述了Tomcat 的一些新特性

　　下面逐一开始介绍

　　Tomcat 新特性

　　使用随机数去防止跨站请求伪造攻击

　　Wikipedia将跨站请求伪造攻击(Cross Site Request fery CSRF)定义为: 一种影响Web应用的恶意攻击 CSRF让用户当进入一个可信任的网页时被强行执行恶意代码

　　经典的防止CSRF攻击的方法是使用随机数的方式 Wikipedia中定义为利用随机或伪随机数嵌入到认证协议中以确保旧的不能在以后的重放攻击中被利用

　　Tomcat 中有一个servlet过滤器用于将随机数存储在用户每次请求处理后的seesion会话中这个随机数必须作为每次请求中的一个参数 Servlet过滤器然后检查在请求中的这个随机数是否与存储在用户session中的随机数是一样的如果它们是相同的该请求是判断来自指定的网站如果它们是不同的该请求被认为是从其他网站发出并且会被拒绝

　　这个servlet过滤器是十分简单的下面是从Tomcat 源代码CsrfPreventionFilter文档中摘录的片段:

　　Java代码:

　　public class CsrfPreventionFilter extends FilterBase

　　public void doFilter(ServletRequest request ServletResponse response

　　FilterChain chain) throws IOException ServletException

　　String previousNonce = req getParameter(Constants CSRF_NONCE_REQUEST_PARAM);

　　String expectedNonce = (String) req getSession(true) getAttribute(Constants CSRF_NONCE_SESSION_ATTR_NAME);

　　if (expectedNonce != null && !expectedNonce equals(previousNonce))

　　res sendError(HttpServletResponse SC_FORBIDDEN);

　　return;

　　String newNonce = generateNonce();

　　req getSession(true) setAttribute(Constants CSRF_NONCE_SESSION_ATTR_NAME newNonce);

　　所以每个URL地址中都有一个从用户session中提取的随机数下面是使用的JSTL例子:

　　在以前 JSTL中构造链接可以这样:

　　< c:url var= url value= /show >

　　< c:param name= id value= / >

　　< /c:url >

　　< a href= $show >Show< /a >

　　而现在可以这样:

　　< c:url var= url value= /show >

　　< c:param name= id value= / >

　　< c:param name= apache catalina filters CSRF_NONCE value= $ apache catalina filters CSRF_NONCE / >

　　< /c:url >

　　具体的例子可以参考Tomcat 自带例子中的演示这个过滤器可以在web xml中进行配置配置后所有访问的都必须带上参数不带上参数的话会出现禁止访问错误

　　当然这种方法的缺点就是所有的链接都必须带上这个随机数

　　改变了安全认证中的jessionid的机制防止session攻击

　　Session劫持攻击通常是以下的情况:

　　恶意攻击者先访问一个网页由于cookie是以jsession id的方式存储在浏览器中的即使攻击者不登陆他可以伪造一个带有jsession id的地址把它发给受害者

　　受害者点这个带有jsessionid的链接提示输入验证信息之后就登陆系统;

　　攻击者现在使用这个带jsessionid的链接以受害者的身份登陆进系统了

　　对于攻击者来说将jsessionid加在url中以及通过一个恶意表单发送出去是很容易的事对于session劫持攻击的更详细描述请参考Acros Security组织的白皮书 Session Fixation Vulnerability in Web based Applications

　　Tomcat 对此的解决方案是一个补丁它在验证后改变了jsessionid 这个补丁主要是应用在Tomcat 中当然在Tomcat 和中也可以使用但只是有些不同

　　根据Mark Thomas说的应用了Tomcat 的这个补丁后:

　　Tomcat默认情况下安全性不再变得脆弱因为验证后会话发生了变化

　　如果用户改变了默认设置(比如应用程序不能处理变化了的session id) 风险也会降到最小因为在Servlet 中可以禁止在url中进行会话跟踪

　　而在Tomcat 和Tomcat 中应用了补丁后:

　　能阻止session劫持攻击因为能让Tomcat在验证后改变session id

　　如果应用程序不能处理变化了的session id 可以通过写自定义的过滤器去检查request isRequestedSessionIdFromURL()和其返回的结果以降低风险

　　以上这些改变都是Tomcat在幕后所做的开发者根本不用去理会

　　内存泄露的侦测和防止

　　开发者在部署他们写的程序到生产环境上时经常会遇到Pemgen错误:OutOfMemoryError 这是由于内存泄露而引起的通常开发者是通过增大permgen内存的大小去解决或者就是重新启动Tomcat

　　Tomcat 包含了一个新的特性它通过把不能垃圾回收的引用对象移走的方法能解决一些Permgen内存泄露的问题这个特性对程序员部署应用程序在他们的开发环境中是十分方便的因为程序员在开发环境中为了节省时间一般不重新启动Tomcat就能部署新的war文件在生产环境中最好的建议还是停掉Tomcat 然后清除work下面的目录文件并且重新部署应用

　　当然内存泄露检测和防止这个特性现在还不是很完善还是有的情况Tomcat不能检测内存泄露和修复之的所以对于生产环境最好的的办法还是停掉Tomcat 然后清除work下面的目录文件并且重新部署应用

　　Mark Thomas解析应用程序或者库程序在如下情况下会触发内存泄露:

　　JDBC驱动的注册

　　一些日志框架

　　在ThreadLocals中保存了对象但没有删除它们

　　启动了线程但没停止

　　而 Java API 存在内存泄漏的地方包括:

　　使用 javax imageio API ( Google Web Toolkit会用到)

　　使用 java beans Introspector flushCaches()

　　使用 XML 解析器

　　使用 RMI 远程方法调用

　　从 Jar 文件中读取资源

　　在war文件外使用别名去存储静态内容

　　Web应用程序需要静态资源文件比如象CSS Javascript和视频文件图片文件等通常都把它们打包放在war文件中这将增加了WAR文件的大小并且导致很多重复的加载静态资源一个比较好的解决方法是使用Apache HTTP服务器去管理这些静态文件资源下面是一个apache 文件的配置摘录:

　　< Directory /home/avneet/temp/static >

　　Order allow deny

　　Allow from all

　　< /Directory >

　　Alias /static /home/avneet/temp/static

　　以上的设置使得访问localhost/static时能访问到放在/home/avneet/temp/static下的资源

　　允许使用新的aliases属性指出静态文件资源的位置可以通过使用Classloader getResourceAsStream( /static/ )或者在链接中嵌入的方法让Tomcat去解析绝对路径下面是一个在context xml中配置的例子:

　　< ?xml version= encoding= UTF ? >

　　< Context path= /Tomcat demo aliases= /static=/home/avneet/temp/static >

　　< /Context >

　　假设/home/avneet/temp/static这个文件夹存放有一张图片bg png 如果war文件以Tomcat demo的名字部署那么可以通过以下三个方式去访问这张图片

　　直接访问 localhost: /Tomcat demo/static/bg png

　　在HTML链接中访问:< img src= /Tomcat demo/static/bg png / >

　　通过JAVA代码访问: ByteArrayInputStream bais = (ByteArrayInputStream)getServletContext() getResourceAsStream( /static/bg png );

　　使用aliases的好处是可以代替Apache的的设置并且可以在servlet容器范围内访问并且不需要Apache

　　Tomcat 的增强特性

　　对Servlet JSP 和JSP EL 的支持

　　Servlet 的增强特性有:

　　可以在POJO或者过滤器filters中使用annotations注释(在web xml中不再需要再进行设置了)

　　可以将web xml分块进行管理了也就是说用户可以编写多个xml文件而最终在web xml中组装它们这将大大降低web xml的复杂性增强可读性比如 struts jar和spring mvc jar每一个都可以有一个web fragment xml 开发者不再需要在web xml中去配置它们了在web fragment xml中的jar文件会自动加载并且struts/spring mvc servlets和filters也会自动装配设置

　　异步处理web的请求这个特性在Tomcat 中已经有了现在在Tomcat 中以Servlet 标准规范化了能让使用异步I/O的web应用程序可以移植到不同的web容器中异步处理使用非阻塞I/O 每次的HTTP连接都不需要对应一个线程更少的线程可以为更多的连接提供服务这对于需要长时间计算处理才能返回结果的情景来说是很有用的比如产生报表 Web Servce调用等

　　安全的增强 Servlet 现在使用SSL 去加强了会话session的跟踪代替了原来的cookie和URL重写

　　更容易将Tomcat内嵌到应用去中去

　　Tomcat 现在可以嵌入到应用程序中去并可以通过程序去动态设置和启动象在CATALINA_HOME/conf/server xml中的很多配置现在都可以用程序动态去设置了在Tomcat 前 Tomcat 提供了一个嵌入类它能方便地去配置Tomcat 但在Tomcat 中这个类已被废弃了这个新的Tomcat 的类使用了几个默认的配置元素并提供了一个更容易和简单的方法去嵌入Tomcat

　　下面是CATALINA_HOME/conf/server xml中的一些相关属性和配置:

　　< Server >

　　< Service >

　　< Connector port= >

　　< Engine >

　　< Host appBase= /home/avneet/work/Tomcat demo/dist / >

　　< /Engine >

　　< /Connector >

　　< /Service >

　　< /Server >

　　我们可以通过程序去进行动态设置了:

　　final String CATALINA_HOME = /home/avneet/work/temp/Tomcat demo/ ;

　　Tomcat Tomcat = new Tomcat();

　　Tomcat setBaseDir( CATALINA_HOME );

　　Tomcat setPort( );

　　Tomcat addWebapp( /Tomcat demo CATALINA_HOME + /webapps/Tomcat demo war );

　　Tomcat start();

　　System out println( Started Tomcat );

　　Tomcat getServer() await(); //Keeps Tomcat running until it is shut down

　　//Webapp Tomcat demo accessible at localhost: /Tomcat demo/

　　异步日志记录

　　Tomcat 现在包括了一个异步日志记录器(AsyncFileHandler) AsyncFileHandler继承了FileHandler类并能代替FileHandler 使用AsyncFileHandler 时只需要在CATALINA_HOME/conf/logging properties中把FileHandler全部替换为AsyncFileHandler就可以了要注意的是异步日志不能跟log 一起工作

　　当有日志发向AsyncFileHandler时日志被加入到队列中(ncurrent LinkedBlockingDeque)并且方法调用的信息会马上返回不需要等待I/O写到磁盘中当类加载器加载AsyncFileHandler时会有一个单独的线程启动这个线程会从队列中读取日志信息并且写到磁盘中去

　　这种方法的好处是如果I/O速度很慢(比如日志要保存在远端的设备上)时记录日志的请求和处理过程不会显得很慢

　　AsyncFileHandler使用生产者和消费者的关系原理在队列中存储日志信息队列默认大小为为了预防队列溢出默认是丢弃最后的信息默认的队列大小和溢出的设置都可以通过启动参数进行设置

　　关于Tomcat 的示例程序

cha138/Article/program/Java/ky/201311/28352