GAE（Java 8环境）如何隐藏网站敏感文件及正确使用WEB-INF

首先得明确一个核心点：WEB-INF目录下的文件是无法被浏览器直接访问的，这是Java Web应用的安全设计——只有服务器端代码才能读取这里的资源。所以你之前尝试用<script>直接引用WEB-INF路径肯定行不通，得换个思路：通过服务器端中间层来安全地暴露这些敏感资源，或者让后端直接读取使用。

下面给你几个实用的解决方案：

1. 后端直接读取WEB-INF资源（适用于后端业务逻辑使用） #

如果敏感资源（比如密钥、邮箱配置）是给后端代码用的，根本不需要暴露给前端，直接在Java代码里读取即可。比如读取配置文件：

// 在Servlet或者其他后端类中
ServletContext context = getServletContext();
InputStream resourceStream = context.getResourceAsStream("/WEB-INF/resources/sensitive-config.txt");

// 读取文件内容
String content = new String(resourceStream.readAllBytes(), StandardCharsets.UTF_8);
// 然后在后端逻辑中使用这个content，比如作为API密钥、邮箱地址等

这种方式完全不会把敏感信息暴露给公网，是最安全的做法。

2. 通过带权限验证的Servlet暴露资源（适用于前端需要获取敏感信息的场景） #

如果前端确实需要获取这些敏感资源（比如某些配置项），不能让前端直接访问文件，而是写一个Servlet作为中间层，先验证请求的合法性，再返回资源内容。

示例代码：

@WebServlet("/api/get-sensitive-data")
public class SensitiveDataServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        // 第一步：验证请求来源，防止外部恶意调用
        String referer = req.getHeader("Referer");
        if (referer == null || !referer.startsWith("https://your-domain.net/")) {
            resp.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid request source");
            return;
        }

        // 第二步：读取WEB-INF下的资源
        InputStream resourceStream = getServletContext().getResourceAsStream("/WEB-INF/resources/sensitive-key.txt");
        if (resourceStream == null) {
            resp.sendError(HttpServletResponse.SC_NOT_FOUND);
            return;
        }

        // 第三步：返回资源内容
        resp.setContentType("text/plain");
        resp.getOutputStream().write(resourceStream.readAllBytes());
    }
}

然后前端可以通过AJAX/fetch来获取：

fetch('/api/get-sensitive-data')
  .then(response => {
    if (!response.ok) throw new Error('Request failed');
    return response.text();
  })
  .then(data => {
    // 在这里使用敏感数据，比如配置API调用
  })
  .catch(error => console.error(error));

注意：这里的权限验证可以根据你的需求加强，比如结合用户会话、请求签名等，确保只有合法的请求能拿到数据。

3. 额外的安全建议 #

• 不要把包含敏感信息的JavaScript文件放在非WEB-INF目录下，这类文件如果必须给前端用，要确保里面没有敏感内容——如果有敏感内容，就把敏感部分抽出来放到WEB-INF，通过后端接口传递。
• GAE Java 8环境完全支持标准Servlet API，上面的方案都可以直接使用，不需要额外配置。
• 对于特别敏感的信息（比如数据库密码），更推荐使用GAE的环境变量或者Secret Manager来存储，而不是放在文件里，这会更安全。

内容的提问来源于stack exchange，提问作者Adam Law