如何在Apache Tomcat 8中启用安全的HTTP头？
使用安全头部来注入HTTP响应可以缓解大部分的web security vulnerabilities。
如果您正在管理生产环境或与支付相关的应用程序，则安全/渗透测试团队也会要求您实现必要的HTTP头部，以符合PCI-DSS安全标准。
具有安全头部可以指示浏览器执行或不执行某些操作，以防止某些安全攻击。
您可能正在使用像Apache、Nginx、IIS这样的Web服务器作为Tomcat的前端，所以您可以implement the headers directly in web server。
但是，如果您没有任何Web服务器，或者需要直接在Tomcat中实施，那么如果您正在使用Tomcat 8，则有一个好消息。
Tomcat 8添加了对以下HTTP响应头的支持。
- X-Frame-Options – 防止点击劫持攻击
- X-XSS-Protection – 避免跨站脚本攻击
- X-Content-Type-Options – 阻止内容类型嗅探
- HSTS – 添加严格传输安全性
我已经在Linux（CentOS发行版）服务器上的Apache Tomcat 8.5.15进行了测试。
注意：如果您正在寻找全面的加固和安全性，您可以refer this guide。
作为最佳实践，在进行更改或在非生产环境中进行测试之前，备份必要的配置文件。
- 登录到Tomcat服务器
- 转到Tomcat安装路径下的conf文件夹
- 取消注释以下过滤器（默认情况下被注释掉）
httpHeaderSecurity org.apache.catalina.filters.HttpHeaderSecurityFilter true
通过取消注释以上内容，您指示Tomcat支持HTTP头部安全过滤器。
- 在上述过滤器之后添加以下内容
httpHeaderSecurity /*
通过添加以上内容，您指示Tomcat在所有应用程序URL中注入HTTP头部。
- 重新启动Tomcat并访问应用程序以验证头部。
您可以使用链接_4>或在浏览器上按F12进行检查。
以下是从web.xml文件中摘取的快速过滤器参考。
在Tomcat 8中启用安全头很简单，作为管理员，您应该计划实施它们以提高安全性。
如果您是Tomcat的新用户，您可能有兴趣参加此 Apache Tomcat administration course。
