Tomcat 8 Slow HTTP POST漏洞缓解配置方案咨询

针对你提到的Tomcat 8被第三方工具检测出Slow HTTP POST漏洞，且前端没有Apache/Nginx做反向代理的情况，结合你给出的现有Connector配置，这里有几个直接在Tomcat层面就能落地的解决方案：

方案1：调整超时参数，切断慢上传连接 #

Slow HTTP POST的核心是攻击者通过保持不完整的POST连接持续占用Tomcat线程，我们可以通过配置超时参数直接切断这类无效连接。在你的Connector配置中添加/调整以下参数：

• connectionTimeout="20000"：设置常规连接超时时间（单位：毫秒），比如20秒，超过这个时间未收到完整请求就强制断开
• disableUploadTimeout="false"：允许Tomcat对上传类请求单独设置超时（默认值为true，即上传过程中不触发超时）
• connectionUploadTimeout="10000"：设置上传过程中的超时阈值，比如10秒内没有收到POST请求的后续数据，就直接断开连接

修改后的Connector配置示例：

<Connector port="8643" 
           protocol="HTTP/1.1" 
           SSLEnabled="true" 
           maxThreads="150" 
           scheme="https" 
           secure="true" 
           compression="on" 
           clientAuth="false" 
           sslProtocol="TLS" 
           maxPostSize="20480" 
           maxSwallowSize="20480" 
           maxHeaderCount="25" 
           maxParameterCount="100"
           connectionTimeout="20000"
           disableUploadTimeout="false"
           connectionUploadTimeout="10000"/>

方案2：切换到NIO/APR协议，提升并发抗攻击能力 #

你当前使用的是BIO模式的HTTP/1.1协议（Tomcat默认），BIO每个连接对应一个线程，慢请求很容易耗尽maxThreads上限。换成NIO或APR协议可以让Tomcat用少量线程处理大量连接，从根本上降低慢请求的资源占用影响：

切换到NIO协议 #

将protocol参数改为org.apache.coyote.http11.Http11NioProtocol，同时保留方案1的超时参数即可：

<Connector port="8643" 
           protocol="org.apache.coyote.http11.Http11NioProtocol" 
           SSLEnabled="true" 
           maxThreads="150" 
           scheme="https" 
           secure="true" 
           compression="on" 
           clientAuth="false" 
           sslProtocol="TLS" 
           maxPostSize="20480" 
           maxSwallowSize="20480" 
           maxHeaderCount="25" 
           maxParameterCount="100"
           connectionTimeout="20000"
           disableUploadTimeout="false"
           connectionUploadTimeout="10000"/>

切换到APR协议（可选，性能更优） #

APR是基于本地系统库的协议，需要先安装对应依赖（可参考Tomcat官方文档的安装步骤），然后将protocol改为org.apache.coyote.http11.Http11AprProtocol，配置逻辑和NIO一致。

方案3：添加请求限流阀，限制单IP请求频率 #

如果需要更严格的流量管控，可以在Tomcat的server.xml中给Engine或Host添加RateLimitValve，限制每个IP的请求频率，防止攻击者批量发起慢请求：

<Engine name="Catalina" defaultHost="localhost">
    <!-- 其他原有配置 -->
    <Valve className="org.apache.catalina.valves.RateLimitValve"
           rateLimit="10"
           rateLimitInterval="1"
           rateLimitUnit="second"/>
    <Host name="localhost"  appBase="webapps"
          unpackWARs="true" autoDeploy="true">
        <!-- 其他原有配置 -->
    </Host>
</Engine>

参数说明：

• rateLimit="10"：每个IP每秒最多允许10个请求
• rateLimitInterval="1"：时间统计间隔为1秒
• rateLimitUnit="second"：时间单位为秒

注意事项 #

• 调整超时参数前，要先确认业务场景是否允许较短的超时时间，避免影响正常用户的操作
• 切换协议后，建议全面测试Spring Controller和JSP的功能，确保应用兼容性不受影响
• 你已配置的maxSwallowSize="20480"可以保留，这个参数会限制Tomcat在拒绝请求后允许吞下的剩余请求体大小，能有效防止攻击者通过大请求体占用资源

内容的提问来源于stack exchange，提问作者nasminspy