如何限制用户访问Tomcat中WEB-INF下的web.xml及其他资源？

当前环境为多Tomcat部署，采用Spring+Hibernate架构，由前供应商移交后发现存在配置漏洞——浏览器可直接访问WEB-INF目录下的context-datasource.xml、dispatcher-servlet.xml、web.xml等核心配置文件。尝试在Tomcat的conf/context.xml、conf/web.xml以及项目自身的web.xml中添加以下安全约束代码，但未生效：

<SecurityConstraint>
     <web-resource-collection>
         <web-resource-name>Restrict WEB-INF resources</web-resource-name>
         <url-pattern>/WEB-INF/*</url-pattern>
     </web-resource-collection>
     <auth-constraint/>
</SecurityConstraint>

排查方向与修复方案 #

1. 检查Tomcat版本与配置优先级 #

• Tomcat默认会拦截WEB-INF目录的直接访问，出现可访问情况大概率是自定义配置覆盖了默认规则。先确认Tomcat版本：
  • Tomcat 7及以上的全局conf/web.xml中，默认已包含针对/WEB-INF/*和/META-INF/*的安全约束。若你的约束未生效，可能是原有配置存在冲突——比如有更宽松的url-pattern（如/*）规则优先级更高，覆盖了你的设置。
  • 检查全局conf/web.xml中的其他<security-constraint>节点，确保你的约束使用更精确的url-pattern，优先被匹配。

2. 确认项目web.xml的配置规范 #

• 项目的web.xml中，安全约束必须放在<web-app>根节点下，不能被其他标签包裹。
• 检查XML格式是否正确：标签需闭合，拼写无误。注意<auth-constraint/>是正确的空标签写法，但部分低版本Tomcat可能要求写成<auth-constraint></auth-constraint>。

3. 多Tomcat环境的配置隔离检查 #

• 多Tomcat实例的conf目录相互独立，确认你修改的是正在运行的目标Tomcat实例的配置文件，而非其他未启用的实例。
• 检查项目的META-INF/context.xml或Tomcatconf/Catalina/localhost/下的自定义Context配置文件，这些配置可能会覆盖全局或项目web.xml的安全规则。

4. 排查URL重写与过滤器干扰 #

• 如果项目使用了URL重写过滤器（如UrlRewriteFilter）或自定义Servlet过滤器，可能会绕过Tomcat的默认安全拦截，需在过滤器逻辑中添加对WEB-INF路径的拦截处理。
• 检查Spring MVC的DispatcherServlet映射规则：若映射了/*，需确保它不会处理WEB-INF路径的请求。正常情况下Spring MVC不会转发WEB-INF下的文件，但如果视图解析器或资源处理器配置错误，可能导致文件被直接返回。

5. 强制添加全局严格拦截规则 #

若以上方法无效，可在全局conf/web.xml中替换原有规则，添加更严格的约束：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected Resources</web-resource-name>
        <url-pattern>/WEB-INF/*</url-pattern>
        <url-pattern>/META-INF/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <!-- 不指定任何角色，拒绝所有访问 -->
    </auth-constraint>
</security-constraint>

添加完成后重启对应Tomcat实例，测试WEB-INF路径是否仍可被访问。

内容的提问来源于stack exchange，提问作者Jay Pagnis