暴露 Apache Tomcat 管理页面是不是一个坏主意？除了可能遭到暴力破解外，还存在其他安全风险吗？
答案1
我当然认为这不是一个好主意。过去曾发现过几个安全问题。我永远不会在生产服务器上运行它。
在暴露的系统上，您希望尽量减少攻击面，并减少需要监视/修补已知漏洞的数量。这违反了这两个原则。
答案2
正如 @TheFiddlerWins 所说，从安全角度来看，这是一个坏主意。暴露的服务越少，破坏系统的机会就越少。
想想看，有大量的机器人正在频繁地尝试探索服务器上常见的错误。
我只是会在暴露一些注意事项的情况下这样做，例如：
- 仅限制对您的 IP 的访问
- 使用用户名和密码保护
- 更改 PATH（一些随机变量，如 /djah8hueqwy7，不用担心，您的浏览器会轻松记住）
答案3
我们都一致认为，暴露的表面越少，受到攻击的可能性就越小。
广泛暴露任何类型的管理页面基本上都是一个坏主意。
暴露你的 Tomcat 应用程序就足够了，不需要添加额外的攻击面来暴露你的 Tomcat 管理页面！
攻击可以有多种类型，而不仅限于暴力破解。
你可以接触其他类型的人，比如：
- 中间人攻击
- 恶意内容注入（XSS、SQL 注入）
- 嗅探和流量记录
- 会话劫持
如果您确实想公开此页面，您可以考虑实施一些安全机制，例如：
- 实施 SSL (https)
- 限制访问有限数量的 IP 地址
- 监控对管理页面的访问，至少在修改时收到电子邮件/短信
- 记录一切（访问、修改）