Tomcat 9对接Apache的AJP连接器替代方案及配置咨询

问题1：取消AJP配置段的注释是否可以解决连通问题？ #

仅取消注释无法直接正常使用，Tomcat 9及以上版本默认要求AJP连接器必须配置secret参数做身份校验，原有无secret的配置直接启用会导致Tomcat启动报错。你需要修改配置为以下格式后再取消注释：

<Connector protocol="AJP/1.3"
           address="::1"
           port="8009"
           redirectPort="8443"
           secret="你的自定义强密钥" />

修改后重启Tomcat即可恢复和Apache的AJP连通。

问题2：AJP有安全漏洞，有什么替代方案实现Apache和Tomcat连通？ #

目前最通用的替代方案是 HTTP反向代理：

• 在Apache侧启用mod_proxy和mod_proxy_http模块，配置规则将应用请求通过HTTP协议转发到Tomcat的默认HTTP连接器（一般是8080端口）
• Tomcat侧不需要额外改动原有HTTP连接器的基础配置，仅需补充代理相关的头部识别配置即可。

问题3：替代方案是否会影响单点登录功能？ #

正常配置下不会影响单点登录。只要你在Apache转发请求时，完整携带Host、X-Forwarded-For、X-Forwarded-Proto、Cookie等单点登录依赖的请求头，同时在Tomcat中配置RemoteIpValve识别代理传递的客户端真实信息，单点登录的逻辑和使用AJP时完全一致，不会出现适配问题。

问题4：保留AJP使用的前提下，怎么缓解漏洞风险？ #

可以通过以下配置加固降低风险：

• 必须配置secret参数，设置长度足够、无规律的强密钥，Apache侧配置AJP代理时也必须填写相同的密钥，避免未授权访问AJP端口
• address属性仅绑定本地回环地址或者可信的Apache服务器内网IP，禁止绑定0.0.0.0等可公网访问的地址
• 如无自定义请求属性传递需求，添加allowedRequestAttributesPattern="^$"配置，禁用所有自定义请求属性传递，从根源上降低漏洞利用可能
• 保持Tomcat 9小版本更新到最新官方稳定版，及时修复已披露的AJP相关安全漏洞

内容的提问来源于stack exchange，提问作者arunken