/opt/apache-tomcat-7.0.57/conf/catalina.policy(权限不够)

要配置 Tomcat 8 最小化权限执行，您需要进行以下步骤： 1. 创建一个新的非特权用户，例如“tomcat”。您可以使用以下命令来创建一个新用户： ``` sudo useradd -r -s /bin/false tomcat ``` 2. 将 Tomcat 8 安装目录和相关文件的所有权更改为“tomcat”用户。您可以使用以下命令将所有权更改为“tomcat”用户： ``` sudo chown -R tomcat:tomcat /opt/tomcat ``` 其中，“/opt/tomcat”是 Tomcat 8 的安装目录。 3. 将 Tomcat 8 进程的 umask 设置为 027。您可以在 Tomcat 8 的启动脚本中添加以下行来设置 umask： ``` umask 027 ``` 4. 配置 Tomcat 8 的“setuid”功能，将 Tomcat 8 进程的用户 ID 更改为“tomcat”用户。在 Tomcat 8 的启动脚本中添加以下行来设置“setuid”功能： ``` CATALINA_OPTS="-Dorg.apache.tomcat.util.buf.UDecoder.ALLOW_ENCODED_SLASH=true -Dcatalina.home=$CATALINA_HOME -Djava.security.egd=file:/dev/./urandom -Djava.awt.headless=true -XX:+UseG1GC -Djava.library.path=/usr/lib -Xms512m -Xmx1024m -XX:MaxPermSize=256m -XX:+UseConcMarkSweepGC -Djava.security.manager -Djava.security.policy==/opt/tomcat/conf/catalina.policy -Djava.net.preferIPv4Stack=true -Djava.endorsed.dirs=/opt/tomcat/endorsed -Dcatalina.base=$CATALINA_BASE" CATALINA_OPTS="$CATALINA_OPTS -Djava.awt.headless=true -Djava.security.manager -Djava.security.policy==/opt/tomcat/conf/catalina.policy -Djava.net.preferIPv4Stack=true -Djava.endorsed.dirs=/opt/tomcat/endorsed -Dcatalina.base=$CATALINA_BASE -Dcatalina.home=$CATALINA_HOME -Djava.io.tmpdir=$CATALINA_TMPDIR" export CATALINA_OPTS export JAVA_OPTS="-Djava.awt.headless=true -Djava.security.manager -Djava.security.policy==/opt/tomcat/conf/catalina.policy -Djava.net.preferIPv4Stack=true -Djava.endorsed.dirs=/opt/tomcat/endorsed -Dcatalina.base=$CATALINA_BASE -Dcatalina.home=$CATALINA_HOME -Djava.io.tmpdir=$CATALINA_TMPDIR" export JAVA_HOME=/usr/lib/jvm/java-8-openjdk-amd64 su tomcat -c "/opt/tomcat/bin/catalina.sh run" ``` 其中，“su tomcat”命令将 Tomcat 8 进程的用户 ID 更改为“tomcat”用户。 完成这些步骤后，您可以启动 Tomcat 8 进程，并确保它仅在“tomcat”用户的上下文中运行。