Tomcat实战

╰+攻爆jí腚メ 2022-03-16 04:42 53阅读 0赞

**一、准备工作**  
https://www.oracle.com/technetwork/java/javase/archive-139210.html 下载jdk，这边选择的是jdk-8u144-linux-x64.tar.gz  
https://archive.apache.org/dist/tomcat/ 下载tomcat，这边选择的是apache-tomcat-8.5.30.tar.gz

**二、部署Tomcat**  
1）部署java环境

tar -zxvf jdk-8u144-linux-x64.tar.gz -C /usr/local/
    ln -s /usr/local/jdk1.8.0_144 /usr/local/jdk
    sed -i.ori '$a export JAVA_HOME=/usr/local/jdk\nexport PATH=$JAVA_HOME/bin:$JAVA_HOME/jre/bin:$PATH\nexport CLASSPATH=.:$JAVA_HOME/lib:$JAVA_HOME/jre/lib:$JAVA_HOME/lib/tools.jar' /etc/profile
    source /etc/profile
    
    #出现下面结果证明部署成功
    [root@localhost opt]# java -version
    java version "1.8.0_144"
    Java(TM) SE Runtime Environment (build 1.8.0_144-b01)
    Java HotSpot(TM) 64-Bit Server VM (build 25.144-b01, mixed mode)

2）安装Tomcat

tar -zxvf apache-tomcat-8.5.30.tar.gz -C /usr/local/
    ln -s /usr/local/apache-tomcat-8.5.30 /usr/local/tomcat

**三、Tomcat目录介绍**

[root@localhost opt]# cd /usr/local/tomcat/
    [root@localhost tomcat]# tree -L 1
    .
    ├── bin        #用以启动、关闭Tomcat或者其它功能的脚本（.bat文件和.sh文件）
    ├── conf       #用以配置Tomcat的XML及DTD文件
    ├── lib          #存放web应用能访问的JAR包
    ├── LICENSE
    ├── logs       #Catalina和其它Web应用程序的日志文件
    ├── NOTICE
    ├── RELEASE-NOTES
    ├── RUNNING.txt
    ├── temp       #临时文件
    ├── webapps    #Web应用程序根目录
    └── work       #用以产生有JSP编译出的Servlet的.java和.class文件
    
    7 directories, 4 files
    [root@localhost tomcat]# cd webapps/
    [root@localhost webapps]# ll
    总用量 20
    drwxr-x--- 14 root root 4096 2月  26 23:57 docs           #tomcat帮助文档
    drwxr-x---  6 root root 4096 2月  26 23:57 examples       #web应用实例
    drwxr-x---  5 root root 4096 2月  26 23:57 host-manager   #管理
    drwxr-x---  5 root root 4096 2月  26 23:57 manager        #管理
    drwxr-x---  3 root root 4096 2月  26 23:57 ROOT           #默认网站根目录

**四、启动Tomcat**

#启动程序/usr/local/tomcat/bin/startup.sh
    #关闭程序/usr/local/tomcat/bin/shutdown.sh

**五、Tomcat主配置文件Server.xml详解**  
1）server.xml组件类别

*  顶级组件：位于整个配置的顶层，如server。
 *  容器类组件：可以包含其它组件的组件，如service、engine、host、context。
 *  连接器组件：连接用户请求至tomcat，如connector。
 *  被嵌套类组件：位于一个容器当中，不能包含其他组件，如Valve、logger。

2）组件详解

*  engine：核心容器组件，catalina引擎，负责通过connector接收用户请求，并处理请求，将请求转至对应的虚拟主机host。
 *  host：类似于httpd中的虚拟主机，一般而言支持基于FQDN的虚拟主机。
 *  context：定义一个应用程序，是一个最内层的容器类组件（不能再嵌套）。配置context的主要目的指定对应对的webapp的根目录，类似于httpd的alias，其还能为webapp指定额外的属性，如部署方式等。
 *  connector：接收用户请求，类似于httpd的listen配置监听端口的。
 *  service（服务）：将connector关联至engine，因此一个service内部可以有多个connector，但只能有一个引擎engine。service内部有两个connector，一个engine。因此，一般情况下一个server内部只有一个service，一个service内部只有一个engine，但一个service内部可以有多个connector。
 *  server：表示一个运行于JVM中的tomcat实例。
 *  Valve：阀门，拦截请求并在将其转至对应的webapp前进行某种处理操作，可以用于任何容器中，比如记录日志(access log valve)、基于IP做访问控制(remote address filter valve)。
 *  logger：日志记录器，用于记录组件内部的状态信息，可以用于除context外的任何容器中。
 *  realm：可以用于任意容器类的组件中，关联一个用户认证库，实现认证和授权。可以关联的认证库有两种：UserDatabaseRealm、MemoryRealm和JDBCRealm。
 *  UserDatabaseRealm：使用JNDI自定义的用户认证库。
 *  MemoryRealm：认证信息定义在tomcat-users.xml中。
 *  JDBCRealm：认证信息定义在数据库中，并通过JDBC连接至数据库中查找认证用户。

3）配置文件注释

<?xml version='1.0' encoding='utf-8'?>
    
    <Server port="8005" shutdown="SHUTDOWN">
      <Listener className="org.apache.catalina.startup.VersionLoggerListener" />
      <Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />
      <Listener className="org.apache.catalina.core.JreMemoryLeakPreventionListener" />
      <Listener className="org.apache.catalina.mbeans.GlobalResourcesLifecycleListener" />
      <Listener className="org.apache.catalina.core.ThreadLocalLeakPreventionListener" />
      <GlobalNamingResources>
        <Resource name="UserDatabase" auth="Container"
                  type="org.apache.catalina.UserDatabase"
                  description="User database that can be updated and saved"
                  factory="org.apache.catalina.users.MemoryUserDatabaseFactory"
                  pathname="conf/tomcat-users.xml" />
      </GlobalNamingResources>
      
      <Service name="Catalina">
        
        <Connector port="8080" protocol="HTTP/1.1"
                   connectionTimeout="20000"
                   redirectPort="8443" />
        <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />
    
        
        <Engine name="Catalina" defaultHost="localhost">
          
          <Realm className="org.apache.catalina.realm.LockOutRealm">
            <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
                   resourceName="UserDatabase"/>
          </Realm>
          
          <Host name="localhost"  appBase="webapps"
                unpackWARs="true" autoDeploy="true">
            
            <Context path="" docBase="" debug=""/>
    
            <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
                   prefix="localhost_access_log" suffix=".txt"
                   pattern="%h %l %u %t "%r" %s %b" />
          </Host>
        </Engine>
      </Service>
    </Server>

**六、Tomcat安全优化**  
1.降权启动  
用非root用户启动，这个是线上环境必须做的，比如说我们用wcuser用户启动tomcat

useradd wcuser
    chown -R wcuser:wcuser /usr/local/tomcat /usr/local/apache-tomcat-8.5.30
    
    [root@localhost local]# cd /usr/local/tomcat/
    [root@localhost tomcat]# ll
    总用量 112
    drwxr-x--- 2 wcuser wcuser  4096 2月  26 23:57 bin
    drwx------ 2 wcuser wcuser  4096 4月   4 2018 conf
    drwxr-x--- 2 wcuser wcuser  4096 2月  26 23:57 lib
    -rw-r----- 1 wcuser wcuser 57092 4月   4 2018 LICENSE
    drwxr-x--- 2 wcuser wcuser  4096 4月   4 2018 logs
    -rw-r----- 1 wcuser wcuser  1723 4月   4 2018 NOTICE
    -rw-r----- 1 wcuser wcuser  7138 4月   4 2018 RELEASE-NOTES
    -rw-r----- 1 wcuser wcuser 16246 4月   4 2018 RUNNING.txt
    drwxr-x--- 2 wcuser wcuser  4096 2月  26 23:57 temp
    drwxr-x--- 7 wcuser wcuser  4096 4月   4 2018 webapps
    drwxr-x--- 2 wcuser wcuser  4096 4月   4 2018 work
    
    /usr/local/tomcat/bin/startup.sh

2.telnet管理端口保护  
默认配置文件中的`<Server port="8005" shutdown="SHUTDOWN">`意味着向8005端口发送SHUTDOWN指令是可以关闭tomcat的，这里我们可以把port改为8015，且把关闭指令改为shuttodown

3.ajp连接端口保护  
默认配置文件中的`<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />`意味着ajp连接是开启的，我们可以把它关闭

4.禁用管理端  
tomcat默认占站点webapps下面有很多的管理站点，对项目而言，这些不但是没用的，而且还存在很大的安全隐患，所以我们可以直接将它们删除

[wcuser@localhost ~]$ cd /usr/local/tomcat/webapps/
    [wcuser@localhost webapps]$ ls
    docs  examples  host-manager  manager  ROOT
    [wcuser@localhost webapps]$ mv * /tmp/
    [wcuser@localhost webapps]$ ls
    [wcuser@localhost webapps]$

**七、Tomcat性能优化**  
1）Server.xml优化  
屏蔽dns查询：enableLookups=“false”  
设置编码为UTF-8：URIEncoding=“UTF-8”

2）jvm调优

优化catalina.sh配置文件。在catalina.sh配置文件中添加以下代码
    JAVA_OPTS="-server -Xms2048m -Xmx2048m -XX:NewSize=1024m -XX:MaxNewSize=1024m -XX:PermSize=1024m -XX:MaxPermSize=1024m"
    
    
    -Xms：表示java虚拟机堆区内存初始内存分配的大小，通常为操作系统可用内存的1/64大小即可，但仍需按照实际情况进行分配。
    -Xmx：表示java虚拟机堆区内存可被分配的最大上限，通常为操作系统可用内存的1/4大小。
    通常会将-Xms 与-Xmx两个参数的配置相同的值，其目的是为了能够在java垃圾回收机制清理完堆区后不需要重新分隔计算堆区的大小而浪费资源。
    -XX:newSize：表示新生代初始内存的大小，应该小于-Xms的值；
    -XX:MaxnewSize：表示新生代可被分配的内存的最大上限；当然这个值应该小于-Xmx的值；
    -Xmn：至于这个参数则是对 -XX:newSize、-XX:MaxnewSize两个参数的同时配置，也就是说如果通过-Xmn来配置新生代的内存大小，那么-XX:newSize = -XX:MaxnewSize　=　-Xmn，虽然会很方便，但需要注意的是这个参数是在JDK1.4版本以后才使用的。
    java虚拟机对非堆区内存配置的两个参数：
    -XX:PermSize：表示非堆区初始内存分配大小（方法区）
    -XX:MaxPermSize：表示对非堆区分配的内存的最大上限（方法区）。    
    
    在配置之前一定要慎重的考虑一下自身软件所需要的非堆区内存大小，因为此处内存是不会被java垃圾回收机制进行处理的地方。并且更加要注意的是最大堆内存与最大非堆内存的和绝对不能够超出操作系统的可用内存。

3）jvm错误分析

年老代堆空间被占满
    异常： java.lang.OutOfMemoryError: Java heap space
    
    永久代被占满
    异常：java.lang.OutOfMemoryError: PermGen space
    
    堆栈溢出
    异常：java.lang.StackOverflowError
    说明：这个就不多说了，一般就是递归没返回，或者循环调用造成
    
    线程堆栈满
    异常：Fatal: Stack size too small
    说明：java中一个线程的空间大小是有限制的。JDK5.0以后这个值是1M。与这个线程相关的数据将会保存在其中。但是当线程空间满了以后，将会出现上面异常。
    解决：增加线程栈大小。-Xss2m。但这个配置无法解决根本问题，还要看代码部分是否有造成泄漏的部分。
    
    系统内存被占满
    异常：java.lang.OutOfMemoryError: unable to create new native thread

**八、Tomcat日志切割**

wget https://github.com/wangchaoforever/peizhiwenjian/raw/master/tomcat/cronolog-1.6.2.tar.gz
    tar -zxvf cronolog-1.6.2.tar.gz
    cd cronolog-1.6.2    
    ./configure
    make && make install
    
    查看是否安装成功：
    [root@localhost opt]# which cronolog
    /usr/local/sbin/cronolog

修改/usr/local/tomcat/bin/catlina.sh

把
      shift
      touch "$CATALINA_OUT"
      if [ "$1" = "-security" ] ; then
        if [ $have_tty -eq 1 ]; then
          echo "Using Security Manager"
        fi
        shift
        eval "\"$_RUNJAVA\"" "\"$LOGGING_CONFIG\"" $LOGGING_MANAGER $JAVA_OPTS $CATALINA_OPTS \
          -Djava.endorsed.dirs="\"$JAVA_ENDORSED_DIRS\"" -classpath "\"$CLASSPATH\"" \
          -Djava.security.manager \
          -Djava.security.policy=="\"$CATALINA_BASE/conf/catalina.policy\"" \
          -Dcatalina.base="\"$CATALINA_BASE\"" \
          -Dcatalina.home="\"$CATALINA_HOME\"" \
          -Djava.io.tmpdir="\"$CATALINA_TMPDIR\"" \
          org.apache.catalina.startup.Bootstrap "$@" start \
          >> "$CATALINA_OUT" 2>&1 "&"
    
      else
        eval "\"$_RUNJAVA\"" "\"$LOGGING_CONFIG\"" $LOGGING_MANAGER $JAVA_OPTS $CATALINA_OPTS \
          -Djava.endorsed.dirs="\"$JAVA_ENDORSED_DIRS\"" -classpath "\"$CLASSPATH\"" \
          -Dcatalina.base="\"$CATALINA_BASE\"" \
          -Dcatalina.home="\"$CATALINA_HOME\"" \
          -Djava.io.tmpdir="\"$CATALINA_TMPDIR\"" \
          org.apache.catalina.startup.Bootstrap "$@" start \
          >> "$CATALINA_OUT" 2>&1 "&"
    
      fi
      
    修改为
    
      shift
      #touch "$CATALINA_OUT"
      if [ "$1" = "-security" ] ; then
        if [ $have_tty -eq 1 ]; then
          echo "Using Security Manager"
        fi
        shift
        eval "\"$_RUNJAVA\"" "\"$LOGGING_CONFIG\"" $LOGGING_MANAGER $JAVA_OPTS $CATALINA_OPTS \
          -Djava.endorsed.dirs="\"$JAVA_ENDORSED_DIRS\"" -classpath "\"$CLASSPATH\"" \
          -Djava.security.manager \
          -Djava.security.policy=="\"$CATALINA_BASE/conf/catalina.policy\"" \
          -Dcatalina.base="\"$CATALINA_BASE\"" \
          -Dcatalina.home="\"$CATALINA_HOME\"" \
          -Djava.io.tmpdir="\"$CATALINA_TMPDIR\"" \
          org.apache.catalina.startup.Bootstrap "$@" start 2>&1 | /usr/local/sbin/cronolog  "$CATALINA_BASE"/logs/catalina.%Y-%m-%d.out >> /dev/null &
      else
        eval "\"$_RUNJAVA\"" "\"$LOGGING_CONFIG\"" $LOGGING_MANAGER $JAVA_OPTS $CATALINA_OPTS \
          -Djava.endorsed.dirs="\"$JAVA_ENDORSED_DIRS\"" -classpath "\"$CLASSPATH\"" \
          -Dcatalina.base="\"$CATALINA_BASE\"" \
          -Dcatalina.home="\"$CATALINA_HOME\"" \
          -Djava.io.tmpdir="\"$CATALINA_TMPDIR\"" \
          org.apache.catalina.startup.Bootstrap "$@" start 2>&1 | /usr/local/sbin/cronolog  "$CATALINA_BASE"/logs/catalina.%Y-%m-%d.out >> /dev/null &
      fi

重启tomcat之后，在tomcat的logs目录下生成了带日期的catalina.out日志文件，如catalina.2019-02-27.out

[wcuser@localhost ~]$ ll /usr/local/tomcat/logs/
    总用量 56
    -rw-r----- 1 wcuser wcuser 23667 2月  27 18:35 catalina.2019-02-27.log
    -rw-r----- 1 wcuser wcuser  8291 2月  27 18:35 catalina.2019-02-27.out
    -rw-r----- 1 wcuser wcuser 15376 2月  27 01:03 catalina.out
    -rw-r----- 1 wcuser wcuser     0 2月  27 01:02 host-manager.2019-02-27.log
    -rw-r----- 1 wcuser wcuser  1490 2月  27 01:03 localhost.2019-02-27.log
    -rw-r----- 1 wcuser wcuser     0 2月  27 01:02 localhost_access_log.2019-02-27.txt
    -rw-r----- 1 wcuser wcuser     0 2月  27 01:02 manager.2019-02-27.log