TOMCAT7新特性

英文原文&＃xff1a;Top 7 Features in Tomcat 7: The New and the Improved

Tomcat的7引入了许多新功能&＃xff0c;并对现有功能进行了增强。很多文章列出了Tomcat 7的新功能&＃xff0c;但大多数并没有详细解释它们&＃xff0c;或指出它们的不足&＃xff0c;或提供代码示例。本文将明确描述TOMCAT 7中七个最显著的特征和新增的功能&＃xff0c;并对其作出评论&＃xff0c;而不是仅仅列出新的功能。本文还提供了代码例子以方便你可以对其有更好的理解。 

　　本文分为两个部分&＃xff0c;分别是”TOMCAT 7的新特性”和“TOMCAT 7增强的功能“。 

　　TOMCAT 7新特性 

　　1 使用随机数去防止跨站脚本攻击。 

　　2 改变了安全认证中的jessionid的机制&＃xff0c;防止session攻击。 

　　3 内存泄露的侦测和防止 

　　4 在war文件外使用别名去存储静态内容。 

　　TOMCAT 7的增强功能 

　　5 对Servlet 3.0,JSP 2.2和JSP-EL 2。2的支持 

　　6 更容易将Tomcat内嵌到应用去中去&＃xff0c;比如JBoss 

　　7 异步日志记录 

　　根据Mark Thomas,Tomcat 7委员会的经理的说法&＃xff0c;Tomcat 7最显著的三个特征是Servlet 3.0,内存检测泄露和增强的安全特性。 

　　Tomcat 7的例子程序中&＃xff0c;包含了Eclipse的工程文件和Ant的构建文件&＃xff0c;以方便去构建war文件。其中Eclipse工程文件有例子代码描述了Tomcat 7的一些新特性。 

　　下面逐一开始介绍。 

　　TOMCAT 7新特性 

1、使用随机数去防止跨站请求伪造攻击。 

　　Wikipedia将跨站请求伪造攻击(Cross Site Request forgery,CSRF)定义为&＃xff1a;“一种影响Web应用的恶意攻击。CSRF让用户当进入一个可信任的网页时&＃xff0c;被强行执行恶意代码。 

　　经典的防止CSRF攻击的方法是使用随机数的方式&＃xff0c;Wikipedia中定义为“利用随机或伪随机数嵌入到认证协议中&＃xff0c;以确保旧的不能在以后的重放攻击中被利用。” 

　　Tomcat 7中有一个servlet过滤器&＃xff0c;用于将随机数存储在用户每次请求处理后的seesion会话中。这个随机数&＃xff0c;必须作为每次请求中的一个参数。 Servlet过滤器然后检查在请求中的这个随机数是否与存储在用户session中的随机数是一样的。如果它们是相同的&＃xff0c;该请求是判断来自指定的网站。如果它们是不同的&＃xff0c;该请求被认为是从其他网站发出并且会被拒绝。 

　　这个servlet过滤器是十分简单的&＃xff0c;下面是从TOMCAT 源代码CsrfPreventionFilter文档中摘录的片段&＃xff1a;

 
　　所以每个URL地址中都有一个从用户session中提取的随机数&＃xff0c;下面是使用的JSTL例子&＃xff1a; 

　　在以前&＃xff0c;JSTL中构造链接可以这样&＃xff1a; 

 
 
 
Show 

　　而现在可以这样&＃xff1a; 

 
 
 
 

　　具体的例子可以参考TOMCAT 7自带例子中的演示&＃xff0c;这个过滤器可以在web.xml中进行配置&＃xff0c;配置后&＃xff0c;所有访问如http://localhost:8080/tomcat7demo/csrf/ 的都必须带上参数&＃xff0c;不带上参数的话会出现403禁止访问错误。 

　　当然这种方法的缺点就是所有的链接都必须带上这个随机数。

2、 改变了安全认证中的jessionid的机制&＃xff0c;防止session攻击。 

　　Session劫持攻击通常是以下的情况&＃xff1a; 

　　1 恶意攻击者先访问一个网页&＃xff0c;由于COOKIE是以jsession id的方式存储在浏览器中的&＃xff0c;即使攻击者不登陆&＃xff0c;他可以伪造一个带有jsession id的地址&＃xff0c;把它发给受害者&＃xff0c;比如 

　　http://example.com/login?JESSIONID&＃61;qwerty) 

　　2 受害者点这个带有jsessionid的链接&＃xff0c;提示输入验证信息之后就登陆系统。 

　　3 攻击者现在使用这个带jsessionid的链接&＃xff0c;以受害者的身份登陆进系统了。 

　　对于攻击者来说&＃xff0c;将jsessionid加在url中以及通过一个恶意表单发送出去是很容易的事&＃xff0c;对于session劫持攻击的更详细描述&＃xff0c;请参考Acros Security组织的白皮书“Session Fixation Vulnerability in Web-based Applications”。 

　　TOMCAT 7对此的解决方案是一个补丁&＃xff0c;它在验证后改变了jsessionid。这个补丁主要是应用在TOMCAT 7中&＃xff0c;当然在TOMCAT 5和6中也可以使用但只是有些不同。 

　　根据Mark Thomas说的&＃xff0c;应用了Tomcat 7的这个补丁后&＃xff1a; 

　　• TOMCAT默认情况下安全性不再变得脆弱&＃xff0c;因为验证后会话发生了变化 

　　• 如果用户改变了默认设置(比如应用程序不能处理变化了的session id),风险也会降到最小&＃xff0c;因为在Servlet 3中&＃xff0c;可以禁止在url中进行会话跟踪。 

　　而在TOMCAT 5和TOMCAT 6中&＃xff0c;应用了补丁后&＃xff1a; 

　　• 能阻止session劫持攻击&＃xff0c;因为能让TOMCAT在验证后改变session id。 

　　• 如果应用程序不能处理变化了的session id&＃xff0c;可以通过写自定义的过滤器去检查request.isRequestedSessionIdFromURL()和其返回的结果&＃xff0c;以降低风险。 

　　以上这些改变都是TOMCAT在幕后所做的&＃xff0c;开发者根本不用去理会。 

3 、内存泄露的侦测和防止 

　　开发者在部署他们写的程序到生产环境上时&＃xff0c;经常会遇到Pemgen错误&＃xff1a;OutOfMemoryError。这是由于内存泄露而引起的。通常开发者是通过增大permgen内存的大小去解决或者就是重新启动tomcat。 

　　TOMCAT 7包含了一个新的特性&＃xff0c;它通过把不能垃圾回收的引用对象移走的方法&＃xff0c;能解决一些Permgen内存泄露的问题。这个特性对程序员部署应用程序在他们的开发环境中是十分方便的&＃xff0c;因为程序员在开发环境中为了节省时间一般不重新启动Tomcat就能部署新的war文件。在生产环境中&＃xff0c;最好的建议还是停掉TOMCAT,然后清除work下面的目录文件并且重新部署应用。 

　　当然&＃xff0c;内存泄露检测和防止这个特性现在还不是很完善&＃xff0c;还是有的情况TOMCAT不能检测内存泄露和修复之的&＃xff0c;所以对于生产环境&＃xff0c;最好的的办法还是停掉TOMCAT,然后清除work下面的目录文件并且重新部署应用。 

　　Mark Thomas解析应用程序或者库程序在如下情况下会触发内存泄露&＃xff1a; 

　　• JDBC驱动的注册 

　　• 一些日志框架 

　　• 在ThreadLocals中保存了对象但没有删除它们 

　　• 启动了线程但没停止 

　　而 Java API 存在内存泄漏的地方包括&＃xff1a; 

　　1.使用 javax.imageio API ( Google Web Toolkit会用到) 

　　2.使用 java.beans.Introspector.flushCaches() 

　　3.使用 XML 解析器 

　　4.使用 RMI 远程方法调用 

　　5.从 Jar 文件中读取资源

4、 在war文件外使用别名去存储静态内容 

　　Web应用程序需要静态资源文件&＃xff0c;比如象CSS&＃xff0c;Javascript和视频文件、图片文件等。通常都把它们打包放在war文件中&＃xff0c;这将增加了WAR文件的大小并且导致很多重复的加载静态资源。一个比较好的解决方法是使用Apache HTTP服务器去管理这些静态文件资源&＃xff0c;下面是一个apache httpd.conf文件的配置摘录&＃xff1a; 

 
Order allow,deny 
Allow from all 
 
Alias /static "/home/avneet/temp/static" 

　　以上的设置&＃xff0c;使得访问http://localhost/static时&＃xff0c;能访问到放在/home/avneet/temp/static下的资源。 

　　允许使用新的aliases属性&＃xff0c;指出静态文件资源的位置&＃xff0c;可以通过使用Classloader.getResourceAsStream(&＃39;/static/...&＃39;)或者在链接中嵌入的方法让TOMCAT去解析绝对路径&＃xff0c;下面是一个在context.xml中配置的例子&＃xff1a; 

 
 
 

　　假设/home/avneet/temp/static这个文件夹存放有一张图片bg.png&＃xff0c;如果war文件以tomcat7demo的名字部署&＃xff0c;那么可以通过以下三个方式去访问这张图片 

　　1 直接访问 

　　http://localhost:8080/tomcat7demo/static/bg.png 

　　2 在HTML链接中访问&＃xff1a; 

　　3 通过JAVA代码访问&＃xff1a; ByteArrayInputStream bais &＃61; (ByteArrayInputStream)getServletContext().getResourceAsStream("/static/bg.png"); 

　　使用aliases的好处是可以代替Apache的httpd.conf的设置&＃xff0c;并且可以在servlet容器范围内访问&＃xff0c;并且不需要Apache。 

　　TOMCAT 7的增强特性 

5、对Servlet 3.0,JSP 2.2和JSP-EL 2。2的支持 

　　Servlet 3的增强特性有&＃xff1a; 

　　• 可以在POJO或者过滤器filters中使用annotations注释(在web.xml中不再需要再进行设置了) 

　　• 可以将web.xml分块进行管理了。也就是说&＃xff0c;用户可以编写多个xml文件&＃xff0c;而最终在web.xml中组装它们&＃xff0c;这将大大降低web.xml的复杂性增强可读性。比如&＃xff0c; struts.jar和spring-mvc.jar每一个都可以有一个web-fragment.xml。开发者不再需要在web.xml中去配置它们了&＃xff0c;在web-fragment.xml中的jar文件会自动加载&＃xff0c;并且struts/spring-mvc servlets和filters也会自动装配设置。 

　　• 异步处理web的请求----这个特性在tomcat 6 中已经有了&＃xff0c;现在在tomcat 7中以Servlet 3标准规范化了&＃xff0c;能让使用异步I/O的web应用程序可以移植到不同的web容器中。异步处理使用非阻塞I/O&＃xff0c;每次的HTTP连接都不需要对应一个线程。更少的线程可以为更多的连接提供服务。这对于需要长时间计算处理才能返回结果的情景来说是很有用的&＃xff0c;比如产生报表&＃xff0c;Web Servce调用等。 

　　• 安全的增强---Servlet 3.0现在使用SSL 去加强了会话session的跟踪&＃xff0c;代替了原来的COOKIE和URL重写。

6 、更容易将Tomcat内嵌到应用去中去 

　　Tomcat 7现在可以嵌入到应用程序中去&＃xff0c;并可以通过程序去动态设置和启动。象在CATALINA_HOME/conf/server.xml中的很多配置&＃xff0c;现在都可以用程序动态去设置了。在Tomcat 7前&＃xff0c;Tomcat 6提供了一个嵌入类&＃xff0c;它能方便地去配置Tomcat。但在TOMCAT 7中&＃xff0c;这个类已被废弃了。这个新的Tomcat 7的类&＃xff0c;使用了几个默认的配置元素&＃xff0c;并提供了一个更容易和简单的方法去嵌入Tomcat。 

　　下面是CATALINA_HOME/conf/server.xml中的一些相关属性和配置&＃xff1a; 

 
 
 
 
 
 
 
 
 

　　我们可以通过程序去进行动态设置了&＃xff1a; 

final String CATALINA_HOME &＃61; "/home/avneet/work/temp/tomcat7demo/"; 
Tomcat tomcat &＃61; new Tomcat(); 
tomcat.setBaseDir( CATALINA_HOME ); 
tomcat.setPort( 8080 ); 
tomcat.addWebapp("/tomcat7demo", CATALINA_HOME &＃43; "/webapps/tomcat7demo.war"); 
tomcat.start(); 
System.out.println("Started tomcat"); 
tomcat.getServer().await(); //Keeps Tomcat running until it is shut down 
//Webapp tomcat7demo accessible at http://localhost:8080/tomcat7demo/ 

7 、异步日志记录 

　　TOMCAT 7现在包括了一个异步日志记录器(AsyncFileHandler)。AsyncFileHandler继承了FileHandler类并能代替FileHandler。使用AsyncFileHandler,时&＃xff0c;只需要在CATALINA_HOME/conf/logging.properties中把FileHandler全部替换为AsyncFileHandler就可以了。要注意的是异步日志不能跟log4一起工作。 

　　当有日志发向AsyncFileHandler时&＃xff0c;日志被加入到队列中(java.util.concurrent.LinkedBlockingDeque)并且方法调用的信息会马上返回不需要等待I/O写到磁盘中。当类加载器加载AsyncFileHandler时&＃xff0c;会有一个单独的线程启动&＃xff0c;这个线程会从队列中读取日志信息并且写到磁盘中去 

　　这种方法的好处是如果I/O速度很慢(比如日志要保存在远端的设备上)时&＃xff0c;记录日志的请求和处理过程不会显得很慢。 

　　AsyncFileHandler使用生产者和消费者的关系原理&＃xff0c;在队列中存储日志信息。队列默认大小为10000。为了预防队列溢出&＃xff0c;默认是丢弃最后的信息。默认的队列大小和溢出的设置都可以通过启动参数进行设置。 

　　关于TOMCAT 7的示例程序 

　　TOMCAT 7的自带程序例子有两个servlets&＃xff0c;一个是演示了如何采用随机数的办法防止CSRF攻击&＃xff0c;另外一个是描述了使用aliases。更新一下web/META-INF/context.xml&＃xff0c;指出图片的绝对路径即可顺利运行。 

　　通过ant运行build.xml去将它们部署到tomcat 7中&＃xff0c;使用如下两个地址访问&＃xff1a; 

　　• http://localhost:8080/tomcat7demo/csrf/ 

　　• http://localhost:8080/tomcat7demo/alias/