Tomcat 文件下載配置與安全優化全攻略

利用 Tomcat 原生特性實現高效文件下載

在 Java Web 專案中，文件下載是高頻需求。除了在代碼層面通過 Servlet/Struts2/SpringMVC 實現，Tomcat 容器本身作為 HTTP 服務器，具備直接映射靜態資源的能力。合理利用此特性，可大幅簡化開發工作量。本文將介紹如何配置 Tomcat 實現文件下載、關閉目錄瀏覽風險、解決中文文件名亂碼三大核心場景。

一、 极简文件下載：靜態資源直接映射

1. 在 Eclipse 專案的 WebContent 目錄下創建文件夾 download_file，專門存放供下載的文件。
2. 啟動 Tomcat 服務器。
3. 瀏覽器直接訪問 URL：https://localhost:8080/專案名/download_file/文件名.副本名 即可觸發下載。

此方式無需編寫任何 Java 代碼，Tomcat 的 DefaultServlet 會自動處理靜態資源請求，設置適當的響應頭實現下載。

二、 安全加固：關閉目錄列表瀏覽

風險場景

若用戶訪問 https://localhost:8080/專案名/download_file/（不帶具體文件名），Tomcat 默認會返回該目錄下的文件列表頁面（目錄遍歷），導致敏感文件暴露，存在嚴重安全隱患。

解決方案：修改 conf/web.xml

找到 Tomcat 安裝目錄下的 conf/web.xml，定位 default Servlet 定義，將 listings 參數值改為 false：

<servlet>
    <servlet-name>default</servlet-name>
    <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
    <init-param>
        <param-name>debug</param-name>
        <param-value>0</param-value>
    </init-param>
    <init-param>
        <param-name>listings</param-name>
        <param-value>false</param-value>
    </init-param>
    <load-on-startup>1</load-on-startup>
</servlet>

修改後需重啟 Tomcat 生效。 此舉將禁用目錄瀏覽功能，用戶訪問目錄 URL 時將收到 404 錯誤而非文件列表。

三、 中文文件名亂碼終極解決：URIEncoding 配置

問題現象

當下載文件名包含中文時，Tomcat 默認使用 ISO-8859-1 解碼 URL 路徑，導致找不到對應文件（404）或文件名顯示亂碼。

解決方案：修改 conf/server.xml

在 <Connector> 標籤中添加 URIEncoding="UTF-8" 屬性（建議同時啟用 disableUploadTimeout="true"）：

<Connector connectionTimeout="20000" port="8080" protocol="HTTP/1.1" 
           redirectPort="8443" disableUploadTimeout="true" URIEncoding="UTF-8"/>

此配置強制 Tomcat 使用 UTF-8 解碼請求 URI（含查詢字符串與路徑參數），完美解決中文文件名識別問題。

四、 Eclipse 熱部署失效應對技巧

修改 Tomcat 配置文件後，若在 Eclipse 中重啟 Server 無效，常見原因是 Eclipse 使用的是 Tomcat 的副本配置。解決步驟：

1. 在 Servers 視圖中右鍵該 Tomcat Server → Delete（僅刪除 Eclipse 內的服務器定義，不刪除安裝目錄）。
2. 重新 New → Server 創建同樣的 Tomcat 實例。
3. 再次啟動，配置即可生效。

五、 進階建議：生產環境最佳實踐

• 分離靜態資源：生產環境建議將下載文件存儲於獨立文件服務器或對象存儲（如 Nginx + 文件目錄、MinIO、OSS），而非 WAR 包內，便於擴展與維護。
• 權限控制：若文件需授權下載，不能直接暴露靜態 URL，應通過後端代理流（Stream/ResponseEntity）輸出，並在代碼層校驗權限。
• 斷點續傳：大文件下載需支持 Range 請求，Tomcat 原生靜態服務已支持；代理流模式需自行實現 Range 處理邏輯。
• 緩存策略：通過 Cache-Control、ETag 優化重複下載性能。

掌握 Tomcat 原生下載特性與安全配置，能讓你在輕量級場景下快速交付功能，同時避免常見安全陷阱。對於複雜業務場景，建議結合應用層框架實現更精細的控制。