Tomcat 是 Apache软件基金会下的一个免费、开源的WEB应用服务器，它可以运行在 Linux 和 Windows 等多个平台上，由于其性能稳定、扩展性好、免费等特点深受广大用户喜爱。目前，很多互联网应用和企业应用都部署在 Tomcat 服务器上，比如我们公司，，哈。
之前我们 tomcat 都采用的是默认的配置，因此在安全方面还是有所隐患的。上周对测试环境的所有服务器的tomcat都做了安全优化，其间也粗略做了一些性能优化，这里就简单记录分享下！
一、版本安全
升级当前的tomcat版本为最新稳定版本。故名思议，最新稳定版本就要兼顾最新和稳定这两个概念。一个稳定的版本，是需要时间沉淀的，而最新又是相对于稳定版而言的最新。因此我们一般会选择当前大版本中，最新版本往前推几个版本或者往前推几个月出的版本。
目前，企业常用的tomcat大版本为6.0和7.0版本，8.0版本虽然已经出了很久了，但是仍然不建议使用。
在升级版本中，需要注意的事情有两点:
1、尽量避免跨大版本的升级
2、将当前老版本 tomcat 的server.xml、catalina.sh、web.xml和tomcat-users.xml文件进行备份，然后部署完新版本的 tomcat 之后，将这些配置文件覆盖过去即可，然后停掉旧版本，启动新版本即可完成升级操作。
二、隐藏版本信息
为了避免黑客针对某些版本进行攻击，因此我们需要隐藏或者伪装 Tomcat 的版本信息。
默认 Tomcat 的版本信息如下：
针对该信息的显示是由一个jar包控制的，该jar包存放在 Tomcat 安装目录下的lib目录下，名称为 catalina.jar。
我们可以通过 jar xf 命令解压这个 jar 包会得到两个目录 META-INF 和 org ,通过修改 org/apache/catalina/util/ServerInfo.properties 文件中的 serverinfo 字段来实现来更改我们tomcat的版本信息。
文件信息如下：
[root@localhost~]#catorg/apache/catalina/util/ServerInfo.properties|grep-v’^$|#’server.info=ApacheTomcat/7.0.53server.number=7.0.53.0server.built=Mar25201406:20:16当然，还有另外一种方法来实现隐藏或伪装Tomcat的版本信息，不过本质和上面一样，操作如下：[root@localhost~]#cd/usr/local/apache-tomcat-7.0.53/lib[root@localhostlib]#mkdir-porg/apache/catalina/util[root@localhostlib]#cdorg/apache/catalina/util[root@localhostutil]#vimServerInfo.propertiesserver.info=nolinux#如果想修改成其它版本号，把这个地方的值改成其它值就行了
修改完毕之后，重启 Tomcat即可看到效果！
效果如下：
禁止列目录：
四、优化tomcat-user.xml
该文件含有用户名、角色以及密码的清单文件。负责提供webapps下manager项目的登录认证管理。
在生产环境中，我们需要将该文件全部注释。
注释效果如下：
五、优化server.xml
Tomcat的主配置文件，该文件中包含很多主要元素，比如Service、Connector、Host等，这些元素都会创建软件”对象”、排序及进程管道中设置的这些元素嵌套方，使我们可以执行过滤、分组等工作。
如果要对改文件做优化，我们需要先了解该文件的结构！
server.xml的结构图：
该文件描述了如何启动Tomcat Server
<Server><Listener/><GlobaNamingResources></GlobaNamingResources<Service><Connector/><Engine><Logger/><Realm/><host><Logger/><Context/></host></Engine></Service></Server>
针对该文件，我们需要优化的点有如下：
1、maxThreads 连接数限制
maxThreads 是 Tomcat 所能接受最大连接数。一般设置不要超过8000以上，如果你的网站访问量非常大可能使用运行多个Tomcat实例的方法，即，在一个服务器上启动多个tomcat然后做负载均衡处理。
这里还需要注意的一点是，tomcat 和 php 不同。php可以按照cpu和内存的情况去配置连接数，上万很正常。而 java 还需要注意 jvm 的参数配置。如果不注意就会因为jvm参数过小而崩溃。
2、多虚拟主机
强烈建议不要使用 Tomcat 的虚拟主机，推荐每个站点使用一个实例。即，可以启动多个 Tomcat，而不是启动一个 Tomcat 里面包含多个虚拟主机。因为 Tomcat是多线程，共享内存，任何一个虚拟主机中的应用崩溃，都会影响到所有应用程序。虽然采用多实例的方式会产生过多的开销，但至少保障了应用程序的隔离和安全。
3、压错传输
走过一段路，风景毕竟不相同。这段惠风和畅，
