Windows 10系统下如何阻断8080端口入站请求保障本地开发安全？

• 确认规则优先级：Win10防火墙的拒绝规则优先级高于允许规则，检查是否存在优先级更高的、允许8080入站的规则（比如Tomcat安装时自动创建的允许规则、其他安全软件放行的规则），如果有先删除或禁用
• 校验规则配置项：确认你创建的拒绝入站规则适用协议为TCP、本地端口为8080，作用域的本地IP、远程IP都设置为「任何IP」，配置文件同时覆盖域、专用、公网三类网络，且规则处于已启用状态
• 排查第三方软件冲突：如果设备安装了第三方杀毒、安全卫士类软件，其自带的防火墙规则会覆盖系统防火墙配置，需要在第三方软件的防火墙模块中单独配置8080端口的入站拒绝规则

1. Tomcat 自身配置加固 #

• 限制监听地址：修改Tomcat安装目录下conf/server.xml文件，找到Connector节点，新增address="127.0.0.1"属性，配置后Tomcat只会监听本地环回地址，只有本机可以访问8080端口，内网其他设备完全无法访问，示例配置如下：

<Connector port="8080" protocol="HTTP/1.1"
           address="127.0.0.1"
           connectionTimeout="20000"
           redirectPort="8443" />

• 开启身份验证：如果确实需要给内网特定设备开放访问权限，不要直接放开端口，给Tomcat部署的REST服务配置基础认证或Token校验，未携带合法身份凭证的请求直接拒绝
• 删除默认冗余资源：删除Tomcat自带的webapps目录下的ROOT、docs、examples、host-manager、manager等默认目录，避免默认漏洞被内网扫描工具利用

2. 端口访问控制优化 #

• 如需临时给特定内网IP开放权限，可在全局拒绝规则之外新增单独的允许规则，仅放行指定IP的8080入站请求，避免全内网暴露
• 更换非默认端口：将Tomcat监听端口从默认的8080改为10000以上的随机端口，降低内网批量扫描被发现的概率

3. 开发环境隔离方案 #

• 本地开发可以使用WSL2、Docker等容器化环境运行Tomcat，默认配置下容器端口不主动做端口映射的话，外部设备无法直接访问容器内的服务，天然实现网络隔离
• 如果需要和其他开发人员联调，优先通过本地内网穿透工具、或者统一的开发测试环境服务器做中转，不要直接暴露本地开发机的端口到整个内网

内容的提问来源于stack exchange，提问作者ngong