如何在Tomcat中正确configuration安全策略

我正在使用为Ubuntu Karmic打包的Tomcat 6.0.24。 Ubuntu的Tomcat包的默认安全策略非常严格，但看起来很简单。 在/var/lib/tomcat6/conf/policy.d ，有多种文件可以build立默认策略。

值得注意的是：

• 我没有更改股票tomcat安装 – 没有新的jar到它的公共lib目录（ies），没有server.xml变化等。把.war文件放在webapps目录是唯一的部署行动。
• 我正在部署的Web应用程序失败，在此默认策略下有数千个访问拒绝（由于-Djava.security.debug="access,stack,failure"系统属性而被报告给日志）。
• 完全closures安全pipe理器完全不会导致任何错误，以及正确的应用程序function

我想要做的是将一个特定于应用程序的安全策略文件添加到policy.d目录，这似乎是推荐的做法。 我将其添加到policy.d/100myapp.policy （作为一个起点 – 我想最终将授予的权限仅修剪到应用程序实际需要的内容）：

 grant codeBase "file:${catalina.base}/webapps/ROOT.war" { permission java.security.AllPermission; }; grant codeBase "file:${catalina.base}/webapps/ROOT/-" { permission java.security.AllPermission; }; grant codeBase "file:${catalina.base}/webapps/ROOT/WEB-INF/-" { permission java.security.AllPermission; }; grant codeBase "file:${catalina.base}/webapps/ROOT/WEB-INF/lib/-" { permission java.security.AllPermission; }; grant codeBase "file:${catalina.base}/webapps/ROOT/WEB-INF/classes/-" { permission java.security.AllPermission; }; 

注意试图find正确的codeBase声明的颠簸。 我认为这可能是我的根本问题。

• 如何解决在Ubuntu 10上Netbeans 7.0的深刻破坏的外观和感觉问题
• 在ubuntu-server中为Tomcat7设置JPDA
• 作为Upstart服务启动时，无法读取UTF-8文件名
• 错误：无法启动RubyMine。 找不到JDK。 JDK版本？ +桌面链接
• 解决Ubuntu上java和javac之间的版本冲突

无论如何，上述（实际上只有前两个赠款似乎有任何作用） 几乎奏效：成千上万的访问拒绝已经消失，而我剩下的只有一个。 相关堆栈跟踪：

 java.security.AccessControlException: access denied (java.io.FilePermission /var/lib/tomcat6/webapps/ROOT/WEB-INF/classes/com/foo/some-file-here.txt read) java.security.AccessControlContext.checkPermission(AccessControlContext.java:323) java.security.AccessController.checkPermission(AccessController.java:546) java.lang.SecurityManager.checkPermission(SecurityManager.java:532) java.lang.SecurityManager.checkRead(SecurityManager.java:871) java.io.File.exists(File.java:731) org.apache.naming.resources.FileDirContext.file(FileDirContext.java:785) org.apache.naming.resources.FileDirContext.lookup(FileDirContext.java:206) org.apache.naming.resources.ProxyDirContext.lookup(ProxyDirContext.java:299) org.apache.catalina.loader.WebappClassLoader.findResourceInternal(WebappClassLoader.java:1937) org.apache.catalina.loader.WebappClassLoader.findResource(WebappClassLoader.java:973) org.apache.catalina.loader.WebappClassLoader.getResource(WebappClassLoader.java:1108) java.lang.ClassLoader.getResource(ClassLoader.java:973) 

我相当确信触发拒绝的实际文件是无关紧要的 – 这只是一些属性文件，我们检查可选的configuration参数。 有趣的是：

1. 在这种情况下不存在
2. 该文件不存在的事实最终抛出了一个安全exception，而不是java.io.File.exists()简单地返回false（虽然我想这只是读取权限的语义问题）。

另一个解决方法（除了在tomcat中禁用安全pipe理器之外）是为我的策略文件添加一个开放权限：

 grant { permission java.security.AllPermission; }; 

我认为这在function上等同于closures安全pipe理器。

我想我必须得到我的赠款中的codeBase声明微妙的错误，但目前我没有看到它。

 grant codeBase "file:${catalina.base}/webapps/ROOT.war" { permission java.security.AllPermission; permission java.io.FilePermission "file:${catalina.base}/webapps/ROOT/-", "read, write"; } 

 grant { permission java.io.FilePermission "file:${catalina.base}/webapps/ROOT/WEB-INF/classes/com/foo/some-file-here.txt", "read, write"; }