tomcat可以配置为仅加载签名的jar

Question

我有一个客户问过我们应用程序中签署tomcat组件以及不同的jar.基本上,他们希望阻止任何人只是放入jar文件,重新启动tomcat并创建安全问题.

我的问题是,可以配置tomcat,以便在加载jar文件时验证它们是否已由特定证书签名,如果不能阻止tomcat启动？

Answer 1

Tomcat本身不提供这个功能。但是，作为解决方法，您可以与客户合作，拥有 DMZ 服务器或在其服务器上提供一个可以放置文件的位置。然后，他们可以让作业调度程序运行批处理脚本（在 Windows 上）或 shell 脚本（在 linux/unix 平台上），以使用 jarsigner 工具检查新到达的文件/jar 文件。如果文件通过测试，则可以将它们移至 tomcat 的 Deploy 目录，否则应向服务器管理员发送有关此未签名文件的电子邮件。

命令示例：

jarsigner -verify jar-file

http://docs.oracle.com/javase/tutorial/deployment/jar/verify.html