在Linux系统上部署Tomcat是安全的，但需要采取一系列的安全措施来确保服务器的稳定和数据安全。以下是一些关键的安全配置和实践：
Linux部署Tomcat的安全性
- 低权限用户运行：避免使用root用户运行Tomcat，以减少安全风险。如果不需要在80端口下运行，建议使用nginx等工具进行转发，这样就不需要root权限。
- 应用部署目录权限：运行用户一般不需要有部署目录的写权限，只需读和执行权限即可。
- 删除默认目录：安装完Tomcat后，删除默认的应用目录，以减少黑客攻击的可能性。
- 关闭自动部署：关闭自动部署功能，防止未经授权的代码部署。
- 禁止用户管理：如果不需要通过web部署应用，建议注释或删除tomcat-users.xml下的用户权限相关配置。
- 隐藏Tomcat版本信息：修改server.xml或server.info文件，隐藏Tomcat的版本信息，防止信息泄露。
- 启用cookie的HttpOnly属性：修改context.xml文件，添加useHttpOnly=“true”，防止跨站脚本攻击（XSS）。
- AJP端口管理：如果使用Apache作为前端服务器，可以考虑关闭AJP端口，减少攻击面。
- 服务权限控制：以非root用户启动Tomcat，应用部署目录权限和Tomcat服务启动用户分离。
- 操作系统级别的安全措施：配置防火墙规则，限制外部访问Tomcat服务的端口。
常规的安全加固建议
- 补丁安装：保持Tomcat服务器的版本更新，定期检查并安装最新的Tomcat版本以修复已知的安全漏洞。
- 删除示例程序：删除Tomcat安装目录下的示例应用程序，如docs和examples文件夹，减少潜在风险。
- 检查控制台口令：为管理界面设置复杂且强壮的密码，并定期更换。
- 设置SHUTDOWN字符串：自定义SHUTDOWN命令，隐藏敏感信息。
- 设置运行身份：确保Tomcat以非管理员权限运行。
- 禁止列目录：在web.xml中配置listings元素为false，禁用目录列表功能。
- 日志审核：启用详细的日志记录，并定期审查日志文件。
- 自定义错误信息：为错误响应配置自定义页面，避免泄露服务器配置等敏感信息。
通过上述措施，可以显著提高在Linux系统上部署的Tomcat的安全性。然而，随着技术的不断发展，安全威胁也在不断变化，因此，持续的安全审查和更新是维护服务器安全的关键。
