Wyłącz całą domyślną zawartość odpowiedzi na błędy HTTP w programie Tomcat

Chociaż to nie odpowiada dokładnie na stwierdzenie "nie wysyłaj niczego" na pytanie, a na fali odpowiedzi Clive ' a Evansa , dowiedziałem się, że w tomcat możesz sprawić, że te zbyt obszerne teksty znikną ze stron błędów bez tworzenia niestandardowego ErrorReportValve.

Możesz wykonać ten dostosowujący ErrorReportValve poprzez param 2 "showReport" i " showServerInfo "na twoim serwerze.xml": {]}

<Valve className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false" />

Link do oficjalnego dokumentacja .

Pracował dla mnie na tomcat 7.0.55, nie pracował dla mnie na tomcat 7.0.47 (myślę, że z powodu czegoś zgłoszonego na poniższym linku http://www.mail-archive.com/[email protected]/msg113856.html )

Szybkim, nieco brudnym, ale łatwym sposobem powstrzymania Tomcat przed wysyłaniem jakichkolwiek błędów jest wywołanie setErrorReportValveClass przeciwko hostowi tomcat, z niestandardowym zaworem raportowania błędów, który nadpisuje raport, aby nic nie robić. ie:

public class SecureErrorReportValve extends ErrorReportValve {

@Override
protected void report(Request request,Response response,Throwable throwable) {
}

}

I ustaw go za pomocą:

  ((StandardHost) tomcat.getHost()).setErrorReportValveClass(yourErrorValveClassName);

Jeśli chcesz wysłać swoją wiadomość i uważasz, że Tomcat nie powinien jej zadzierać, chcesz coś w stylu:

@Override
protected void report(final Request request, final Response response, final Throwable throwable) {
    String message = response.getMessage();
    if (message != null) {
        try {
            response.getWriter().print(message);
            response.finishResponse();
        } catch (IOException e) {
        }
    }
}

Jak powiedział Heikki, ustawienie statusu zamiast sendError() powoduje, że Tomcat nie dotyka jednostki odpowiedzi/ciała/ładunku.

Jeśli chcesz wysyłać tylko nagłówki odpowiedzi bez żadnych encji, jak w moim przypadku,

response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
response.setContentLength(0);

Robi sztuczkę. Z Content-Length: 0, print() nie będzie miało żadnego efektu, nawet jeśli zostanie użyte, jak:

response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
response.setContentLength(0);
response.getWriter().print("this string will be ignored due to the above line");

Klient otrzymuje coś w rodzaju:

HTTP/1.1 401 Unauthorized
Server: Apache-Coyote/1.1
Content-Type: text/html;charset=utf-8
Content-Length: 0
Date: Wed, 28 Sep 2011 08:59:49 GMT

Jeśli chcesz wysłać jakiś komunikat o błędzie, użyj {[6] } o długości wiadomości (innej niż zero) lub możesz zostawić go Serwer

Mimo że jest zgodny z Servlet spec, ze względów bezpieczeństwa nie chcę, aby tomcat lub jakikolwiek inny kontener Servlet wysyłał szczegóły błędu. Z tym też trochę się zmagałem. Po wyszukaniu i wypróbowaniu rozwiązanie można podsumować jako:

1. jak inni wspomnieli, nie używaj sendError(), używaj setStatus() zamiast
2. frameworki jak np. Spring Security use sendError()...
3. napisz a Filter że
   a. przekierowuje wywołania do sendError() do setStatus()
   b. spłukuje odpowiedź na końcu, aby zapobiec dalszej modyfikacji odpowiedzi przez pojemnik

Mały przykład filtra serwletów można znaleźć tutaj .

Dlaczego po prostu nie skonfigurować elementu <error-page> z pustą stroną HTML?

Choć to pytanie jest trochę stare, też napotkałem ten problem. Po pierwsze, zachowanie Tomcat jest absolutnie poprawne. Jest to zgodne ze specyfikacją Servlet. Nie należy zmieniać zachowania Tomcat wobec spec. Jak wspomnieli Heikki Vesalainen i mrCoder, używaj tylko setStatus i setStatus.

Do kogo to może dotyczyć, podałem bilet z Tomcat, aby poprawić dokumenty sendError.