可以Tomcat的配置爲只加載簽訂罐子

Question

我有一個客戶端誰已經詢問了我們的應用程序簽名Tomcat組件以及不同的罐子。基本上他們希望阻止任何人放入jar文件，重新啓動tomcat並創建安全問題。

我的問題是，可以進行Tomcat的配置和這樣當它加載它驗證jar文件，他們已經由一個特定的證書籤名，如果不能防止從tomcat的開始？

Answer 1

Tomcat本身不提供此功能。但是，作爲一種解決方法，您可以與您的客戶端合作，在其服務器上安裝DMZ服務器或位置，以便刪除文件。然後他們可以有一個工作調度程序運行批處理腳本（在Windows上）或shell腳本（在linux/unix平臺上）使用jarsigner工具檢查新到達的文件/ jar文件。 如果文件通過測試，那麼他們可以被移動到部署tomcat目錄，否則電子郵件應該出去服務器管理這個未簽名的文件。命令

例如：

jarsigner -verify jar-file 

http://docs.oracle.com/javase/tutorial/deployment/jar/verify.html

Answer 2

您可以啓用Tomcat's security manager，並在政策文件中編輯的規則只適用於簽名的代碼。例如：

grant signedBy "yourClient", codeBase "file:${catalina.home}/webapps/someJar.jar" { 
    permission java.security.AllPermission; 
}; 

這也可以應用到文件夾及其所有內容，請參閱Policy File Syntax。