13518219792
怎样避免Manager应用被人利用，针对这个问题，这篇文章详细介绍了相对应的分析和解答，希望可以帮助更多想解决这个问题的小伙伴找到更简单易行的方法。
创新互联公司服务项目包括沛县网站建设、沛县网站制作、沛县网页制作以及沛县网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，沛县网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到沛县省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！
使用Tomcat时，你一定发现Tomcat的webapps目录中自带了许多的应用，有演示特性与样例的，有进行应用管理的等等，这其中就包含Manager应用。
我们前面的文章曾经分析过Manager应用的内部实现，具体可以移步这里查看：
深入Tomcat的Manager
在Tomcat的manager应用的META-INF/context.xml中，有这样一行注释：
在Tomcat的邮件组里刚好有人也在问这个问题。提问者说有人在猜他的管理员密码，想通过这个，登录到Manager应用。而Manager应用可以直接控制容器内应用的生命周期，可以直接进行Tomcat内应用的启动停止和解部署等，还是很危险的。
通过上面的context.xml中的配置，可以限制只有本地才能访问manager应用，这样除非你的主机被hack掉，否则manager应用还是不会被直接利用的。
这样就解决了Manager应用被非法利用的危险。
下面我们来深入源码，来了解下Tomcat内部是如何进行处理来实现的该功能。
通过上面的配置内容，我们能看出，实现的本质是基于Tomcat的Valve组件来进行请求的过滤处理的。关于Valve之前也曾写过内容：
Tomcat的AccessLogValve介绍
而本次在RemoteAddrValve中，调用的invoke方法注释是这样写的：
/**
* Extract the desired request property, and pass it (along with the
* specified request and response objects) to the protected
*process()method to perform the actual filtering.
* This method must be implemented by a concrete subclass.
*/
也就是解析出需要的参数，传到process方法中。这个方法是其父类
RequestFilterValve的方法，传入的参数是request中的远程请求地址：
request.getRequest().getRemoteAddr();
再看process方法，内容如下：
void process(String property, Request request, Response response) {
if (isAllowed(property)) {
getNext().invoke(request, response);
return;
}
// Deny this request
denyRequest(request, response);
}
基本逻辑类于我们常说的黑名单与白名单。可以配置哪些是允许的，哪些是禁止的。
再翻到上面看Manager应用的配置，是配置了allow属性，设置了允许的请求地址，其它不在此范围的请求都会被拒绝。
isAllow方法，在判断时使用java.util.regex进行正则的判断。首先是根据配置的是allow还是deny进行具体的property解析和匹配。
public boolean isAllowed(String property) {
// Use local copies for thread safety
Pattern deny = this.deny;
Pattern allow = this.allow;
// Check the deny patterns, if any
if (deny != null && deny.matcher(property).matches()) {
return false;
}
// Check the allow patterns, if any
if (allow != null && allow.matcher(property).matches()) {
return true;
}
// Allow if denies specified but not allows
if (deny != null && allow == null) {
return true;
}
// Deny this request
return false;
}
对于RemoteFilterValve，在官方文档还有这样一个样例，可以在拒绝请求招待时，跳转到指定的端口。
addConnectorPort="true"
allow="127\.\d+\.\d+\.\d+;\d*|::1;\d*|0:0:0:0:0:0:0:1;\d*|.*;8443"/>
通过分号进行分隔，后面跟上跳转的端口。
与RemoteAddrValve类似的，Tomcat还提供了一个RemoteHostValve，可以进行远程主机的过滤，配置与功能与我们上面的介绍基本一致。
Tomcat内置了丰富的Valve，可以进行多种情形下的应用。
和Tomcat学设计模式 | Facade模式与请求处理
关于怎样避免Manager应用被人利用问题的解答就分享到这里了，希望以上内容可以对大家有一定的帮助，如果你还有很多疑惑没有解开，可以关注创新互联行业资讯频道了解更多相关知识。
