Jetty - 使用 jetty 默认 servlet 是否安全

Question

我使用 jetty 9.3.11，在我的 web.xml 中，我有以下代码使用 jetty 默认 servlet 来提供静态内容（图像、txt 文件等）。

    <servlet>
        <servlet-name>DefaultServlet</servlet-name>
        <servlet-class>org.eclipse.jetty.servlet.DefaultServlet</servlet-class>
        <init-param>
            <param-name>resourceBase</param-name>
            <param-value>/home/User/data/</param-value>
        </init-param>
    </servlet>
    <servlet-mapping>
        <servlet-name>DefaultServlet</servlet-name>
        <url-pattern>/static/*</url-pattern>
    </servlet-mapping>

这样使用jetty的默认servlet安全吗？我的意思是 - 我可以确定没有人会从 /home/User/、/home/User/temp/、/home/ 文件夹中获取数据吗？

Answer 1

是的，使用任意数量的DefaultServlet 实例。

请注意实际“默认”DefaultServlet 与其他行为的行为。还有它对您的ServletContext 意味着什么以及它可以看到什么。

prior answer 获取信息。

例如：如果您使用的是传统的 webapp，那么“默认”（这是由 Jetty 作为 Servlet 规范的一部分创建的 <servlet-name>default</servlet-name> 实例）将使用 webapp 本身作为 Resource Base。

任何额外的DefaultServlet 实例都不会参与ServletContext 规则。如果您有其他 <url-pattern> 段，则需要注意 pathInfoOnly init-param。