减少Tomcat错误页面中的信息披露

要做到这一点,最简单、最全面的方法是使用ErrorReportValve—只需将以下行添加到server.xml的主机部分(您应该已经拥有AccessLogValve):

<Valve className="org.apache.catalina.valves.ErrorReportValve"
    showReport="false" 
    showServerInfo="false"/>    

这样,您就隐藏了服务器信息和堆栈跟踪(因为可选的showReport=false)。

您可以在 Security How To 并在 Error Report Valve .

<error-page> 是正确的答案,但您不希望将所有错误代码重定向到某个通用消息。您必须考虑如何处理每个错误。如果您担心可能会错过其中一个代码,请查看 HttpServletResponse interface .

我同意Jeremy Stein的观点,即<错误页面>答案如下,但我想补充两点:

1. 你应该放一个<错误页面>CATALINA_HOME/conf/web.xml文件中的条目,以及应用程序的web.xml文件,以防黑客试图访问其他web应用程序中的URL,如默认安装的“manager”、“tomcat”、“examples”等。。

2. 如果您想保护服务器,那么(显然)就没有处理这些错误页面那么简单。此链接列出了您需要执行的操作:

https://www.owasp.org/index.php/Securing_tomcat

有些错误是由容器直接发送的,您的应用程序没有机会处理它们。例如,当请求不存在的资源时,将发送404错误。应用程序对此所做的唯一方法是声明适当的 <error-page>

我同意Jeremy Stein的观点 <错误页面> 这是正确的答案。毕竟,所有的错误代码都不是无限的。

here

Servlet过滤器 ,这可能会将错误页面重定向到您想要的页面。。。您只需编写一次此代码,它将适用于所有错误代码。。