tomcat 配置server.xml预防主机头攻击问题

主机头攻击是一种常见的Web应用程序攻击，攻击者通过伪造HTTP请求头中的Host字段来欺骗服务器，从而获得访问权限。为了预防主机头攻击问题，可以在Tomcat的server.xml配置文件中添加以下内容：

<Valve className="org.apache.catalina.valves.RemoteIpValve"
       remoteIpHeader="x-forwarded-for"
       protocolHeader="x-forwarded-proto"
       internalProxies="127\.0\.0\.1" />

这个配置会启用RemoteIpValve，该Valve会将来自代理服务器的请求中的真实IP地址和协议头传递给Tomcat。其中，remoteIpHeader指定了代理服务器传递真实IP地址的HTTP请求头，默认是x-forwarded-for；protocolHeader指定了代理服务器传递真实协议头的HTTP请求头，默认是x-forwarded-proto；internalProxies指定了可信的代理服务器IP地址或地址段，这些代理服务器会被认为是内部代理服务器，不会被认为是攻击者。

另外，还可以在Tomcat的Connector配置中添加proxyName和proxyPort属性，用于指定代理服务器的名称和端口号，这样Tomcat就能正确地处理代理服务器传递的请求头信息了。

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443"
           proxyName="www.example.com"
           proxyPort="80" />

以上是预防主机头攻击的两种方法，建议同时使用，以提高安全性。