Apache Tomcat 9.0.35远程访问403，可能与CSRF有关

Question

按照本教程，我在CentOS 8上安装了Tomcat 9：https://linuxize.com/post/how-to-install-tomcat-9-on-centos-8/#creating-a-system-user

这里是设置

/ conf / tomcat用户。xml

<tomcat-users xmlns="http://tomcat.apache.org/xml"
              xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
              xsi:schemaLocation="http://tomcat.apache.org/xml tomcat-users.xsd"
              version="1.0">

  <role rolename="admin-gui"/>
  <role rolename="manager-gui"/>
  <user username="user" password="pwd" roles="admin-gui,manager-gui"/>
</tomcat-users>

/ webapps / manager / META-INF / context。xml

<Context antiResourceLocking="false" privileged="true" >
  <Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1|xxx.xxx.xxx.xxx" />
  <Manager sessionAttributeValueClassNameFilter="java\.lang\.(?:Boolean|Integer|Long|Number|String)|org\.apache\.catalina\.filters\.CsrfPreventionFilter\$LruCache(?:\$1)?|java\.util\.(?:Linked)?HashMap"/>
</Context>

[和值的设置似乎没有问题。

但是，<Manager sessionAttributeValueClassNameFilter=""/>的部分可能与CSRF相关，是Tomcat 9的默认部分。

请让我知道是否需要任何其他配置。谢谢。

Answer 1

请在下面的行中注释并进行测试。

 <Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1|xxx.xxx.xxx.xxx" />