Tomcat的各个组件在$CATALINA_HOME/conf/server.xml文件中配置，其基本结构如下：

<Server>				

<Service>				

<Connector />		

<Engine>			

<Host>			

<Context />	

</Host>       

</Engine>       

</Service>          

<Server>              

web.xml文件基本格式：(大小写敏感、元素次序敏感)

<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE web-app PUBLIC "-//Sun Mivorsystems, Inc.//DTD Web Application 2.3//EN" "http://java.sun.com/dtd/web-app_2_3.dtd">
<web-app xmlns="http://java.sun.com/xml/ns/j2ee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd"
version="2.4">
<icon>
<small-icon>/images/app_small.gif</small-icon>
<large-icon>/images/app_large.gif</large-icon>
</icon>
<display-name>Application name</display-name>
<description>Description</description>
<distribute />
<context-param>
<param-name>contextParameter</param-name>
<param-value>test</param-value>
<description>It is a test parameter.</description>
</context-param>
<filter>
<filter-name>Set Character Encoding</filter-name>
<filter-class>filters.SetCharacterEncodingFilter</filter-class>
<init-param>
<param-name>encoding</param-name>
<param-value>EUC JP</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>Set Character Encoding</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<listener>
<listener-class>listeners.SessionListener</listener-class>
</listener>
<servlet>
<servlet-name>snoop</servlet-name>
<servlet-class>SnoopServlet</servlet-class>
<init-param>
<param-name>foo</param-name>
<param-value>bar</param-value>
</init-param>
<run-as>
<description>Security role for anonymous access</description>
<role-name>tomcat</role-name>
</run-as>
<load-on-startup>1</load-on-statup>
</servlet>
<servlet>
<servlet-name>JspServlet</servlet-name>
<jsp-file>/test.jsp</jsp-file>
<init-param>
<param-name>firstName</param-name>
<param-value>tomcat</param-value>
</init-param>
<load-on-startup>2</load-on-startup>
</servlet>
<servlet-mapping>
<servlet-name>snoop</servlet-name>
<url-pattern>/snoop</servlet-name>
</servlet-mapping>
<session-config>
<session-timeout>120</session-timeout>
</session-config>
<mime-mapping>
<extension>htm</extension>
<mime-type>text/html</mime-type>
</mime-mapping>
<welcome-file-list>
<welcome-file>index.jsp</welcome-file>
<welcome-file>index.html</welcome-file>
</welcome-file-list>
<error-page>
<error-code>404</error-code>
<location>/404.jsp</location>
</error-page>
<error-page>
<exception-type>packagename.classname</exception-type>
<location>exception.jsp</location>
</error-page>
<taglib>
<taglib-url>http://jakarta.apache.org/tomcat/debug-taglib</taglib-uri>
<taglib-location>/WEB-INF/jsp/debug-taglib.tld</taglib-location>
</taglib>
<resource-env-ref>
<resource-env-ref-name>jms/StockQueue</resource-env-ref-name>
</resource-env-ref>
<resource-ref>
<res-ref-name>mail/Session</res-ref-name>
<res-type>javax.mail.Sesssion</res-type>
<res-auth>Container</res-auth>
<resource-ref>
<security-constraint>
<display-name>Example Security Constraint</display-name>
<web-resource-collection>
<web-resource-name>Protected Area</web-resource-name>
<url-pattern>/jsp/security/proctected/*</url-pattern>
<http-method>DELETE</http-method>
<http-method>GET</http-method>
<http-method>POST</http-method>
<http-method>PUT</http-method>
</web-resource-collection>
<auth-constraint>
<role-name>tomcat</role-name>
<role-name>role1</role-name>
</auth-constraint>
</security-constraint>
<login-config>
<auth-method>FORM</auth-method>
<realm-name>Example Form-Based Authentication Area</realm-name>
<form-login-config>
<form-login-page>/jsp/security/protected/login.jsp</form-login-page>
<form-error-page>/jsp/security/protected/error.jsp</form-error-page>
</form-login-config>
</login-config>
<security-role>
<role-name>tomcat</role-name>
</security-role>
<env-entry>
<env-entry-name>minExemptions</env-entry-name>
<env-entry-value>1</env-entry-value>
<env-entry-type>java.lang.Integer</env-entry-type>
</env-entry>
<ejb-ref>
<description>Example EJB Reference</description>
<ejb-ref-name>ejb/Account</ejb-ref-name>
<ejb-ref-type>Entity</ejb-ref-type>
<home>com.mycompany.mypackage.AccountHome</home>
<remote>com.mycompany.mypackage.AccountRemote</remote>
</ejb-ref>
<ejb-local-ref>
<description>Example Local EJB Reference</description>
<ejb-ref-name>ejb/ProcessOrder</ejb-ref-name>
<ejb-ref-type>Session</ejb-ref-type>
<local-home>com.mycompany.mypackage.ProcessOrderHome</local-home>
<local>com.mycompany.mypackage.ProcessOrder</local>
</ejb-local-ref>
</web-app>

servlet 2.4中新增标签：

<locale-encoding-mapping-list>
<locale-encoding-mapping>
<locale>ja</locale>
<encoding>Shift_JIS</encoding>
</locale-encoding-mapping>
<locale-encoding-mapping>
<locale>zh_TW</locale>
<encoding>Big5</encoding>
</locale-encoding-mapping>
</locale-encoding-mapping-list>
<filter-mapping>
<filter-name>Logging Filter</filter-name>
<url-pattern>/products/*</url-pattern>
<dispatcher>REQUEST</dispatcher>
<dispatcher>FORWARD</dispatcher>
<dispatcher>INCLUDE</dispatcher>
<dispatcher>ERROR</dispatcher>
</filter-mapping>
<jsp-config>
<taglib>
<taglib-uri>Taglib</taglib-uri>
<taglib-location>/WEB-INF/tlds/mytaglib.tld</taglib-location>
</taglib>
<jsp-property-group>
<description>Special property group for jsp configuration.</description>
<display-name>JspConfiguration</display-name>
<url-pattern>/jsp/*</url-pattern>
<el-ignored>true</el-ignored>
<page-encoding>UTF-8</page-encoding>
<scripting-invalid>true</scripting-invalid>
<include--prelude>/include/prelude.jsp</include-prelude>
<include-coda>/include/coda.jsp</include-coda>
</jsp-property-group>
</jsp-config>

每个Java虚拟机实例都有一个方法区以及一个堆，它们是由该虚拟机实例中所有线程共享的。
当虚拟机装载一个class文件时，它会从这个class文件包含的二进制数据中解析类型信息，然后把这些类型信息放到方法区中；
当程序运行时，虚拟机会把所有该程序在运行时创建的对象都放到堆中；
当每一个新线程被创建时，它都将得到它自己的PC寄存器（程序计数器）以及一个Java栈，如果线程正在执行的是一个java方法（非本地方法），那么PC寄存器的值将总是指示下一条将被执行的指令，而它的Java栈则总是存储该线程中java方法调用的状态—包括它的局部变量，被调用时传进来的参数，它的返回值，以及运算的中间结果等等。而本地方法调用的状态，则是以某种依赖与具体实现的方式存储在本地方法栈中，也可能是在寄存器或者其他某些与特定实现相关的内存中。

Java栈由许多栈帧（stack frme）或者说帧（frame）组成，一个栈帧包含一个方法调用。当线程调用一个Java方法时，虚拟机压入一个新的栈帧到该线程的java栈中，当该方法返回时，这个栈帧被从Java栈中弹出并抛弃。

Java虚拟机没有寄存器，其指令集使用Java栈来存储中间数据。

数据类型

Java虚拟机是通过某些数据类型来执行计算的，数据类型及其运算都是由java虚拟机规范严格定义的。数据类型可以分为两种：基本类型和引用类型。基本类型的变量持有原始值，而引用类型的变量持有引用值。术语“引用值”指的是对某个对象的引用，而不是该对象本身，与此相对，原始值则是真正的原始数据。Java语言中的所有基本类型同样也都是java虚拟机中的基本类型，但是boolean有点特别，虽然虚拟机也把boolean看做基本类型，但是指令集对boolean只有很有限的支持。当编译器把java源码编译成字节码时，它会用int或byte来表示boolean。设计boolean值的操作会使用int，boolean数组是当作byte数组来访问的。但是在“堆”区中，它也可以被表示为位域。

 

类型	范围
byte	8bit，带符号，二进制补码，[-2∧7,2∧7-1]
short	16bit，带符号，二进制补码，[-2∧15,2∧15-1]
int	32bit，带符号，二进制补码，[-2∧31,2∧31-1]
long	64bit，带符号，二进制补码，[-2∧63,2∧63-1]
char	16bit，不带符号，Unicode字符，[0,2∧16-1]
float	32bit，IEEE 754标准单精度浮点数
double	64bit，IEEE 754标准双进度浮点数
returnAddress	同一方法中某操作码的地址
reference	堆中对某对象的引用，或者是null

 

Java虚拟机中，最基本的数据单元就是字（word），它的大小是由每个虚拟机实现的设计者来决定的。字长必须足够大，至少是一个字单元就足以持有byte、short、int、char、float、returnAddress、reference类型的值，而两个字单元就足以持有long或者double类型的值。因此，虚拟机实现的设计者至少得选择32位作为字长。

方法区

由于所有线程都共享方法区，因此它们对方法区数据的访问必须被设计为线程安全的。

类型信息  对每个装载的类型，虚拟机都会在方法区中存储以下类型信息：

l         这个类型的全限定名

l         这个类型的直接超类的全限定名

l         这个类型是类类型还是接口类型

l         这个类型的访问修饰符

l         任何直接超接口的全限定名的有序列表

除这些基本信息外，还需要如下信息：

l         该类型的常量池

l         字段信息

l         方法信息

l         除了常量以外的所有类变量

l         一个到类ClassLoader的引用

一个到Class类的引用

• 类装载器结构
• class文件检验器
• 内置于Java虚拟机（及语言）的安全特性
• 安全管理器及Java API

Java的沙箱安全模型，最重要的优点之一就是这些组件中的类装载器和安全管理器是可以由用户定制的。

1、类装载器体系结构
java沙箱中，类装载器体系结构是第一道防线，类装载器体系结构在三个方面对Java的沙箱起作用：

• 它防止恶意代码去干涉善意的代码。-------通过为由不同的类装载器装入的类提供不同的命名空间来实现的，这个命名空间由Java虚拟机维护
• 它守护了被信任的类库的边界。--------通过分别使用不同的类装载器装载可靠的包和不可靠的包来实现，参见例1和例2的加深理解。
• 它将代码归入了某类（称为保护域），该类确定了代码可以进行哪些操作。

例1：如果某个恶意的类可以成功欺骗Java虚拟机，使Java虚拟机相信它是一个来自Java API的可信任类，那么，这个恶意的类就可以突破沙箱的阻隔了，让我们看看java如何阻止这种情况的发生。
Java的类装载器结构是一个以启动类装载器为根的委派链，子 类装载器在装载一个类时首先会请求其双亲类装载器来装载，如果双亲装载器能够装载成功，则直接使用该类型，只有所有双亲类装载器都装载失败的时候，才会根据自定义的方法去装载该类型，这中工作方式被称作”双亲委派模式“。
在这种模式下，如果一个自定义的网络类装载器试图从网络上下载一个和Java API中某个类型同名的类型，如java.lang.Integer时，它将不能成功，因为通过层层委派，这个类型会被启动类装载器装载，而网络类装载器将直接使用正确的java.lang.Integer，而没有机会从网络上下载并装载这个恶意的java.lang.Integer。

例2：如果自定义的网络类装载器不像例1一样去替换一个被信任的类，而是在被信任的包中插入一个全新的类型，比如，一个java.lang.Virus的时候，将会发生什么？
通过层层委派，网络类装载器最终会正确装载这个名为java.lang.Virus的类，暗示了这个类是Java API的一部分，因此，它可以访问java.lang包中被信任类的特殊访问权限（protected），然而，这个情况不会发生，因为java虚拟机只把彼此访问的特殊权限授予由同一个类装载器装载到同一个包中的类型，即只有同一个”运行时包“的类之间才有特殊访问权限，而java.lang.Virus和java.lang中其他被信任的类分别有网络类装载器和启动类装载器装载，它们不属于同一个运行时包。

• 类型安全的引用转换
• 结构化的内存访问（无指针算法）
• 自动垃圾收集（不必显式地释放被分配的内存）
• 数组边界检查
• 空引用检查

4、安全管理器和Java API
java安全模型的前三个部分共同达到了一个目的：保持java虚拟机的实例和它正在运行的应用程序的内部完整性，使得它们不被下载的恶意或有漏洞的代码侵犯。相反，java安全模型的第四个组成部分---安全管理器---则用于保护虚拟机外部资源不被虚拟机内运行的恶意或有漏洞的代码侵犯。这个安全管理器是一个单独的对象，在运行的java虚拟机中，它在访问控制---对于外部资源的访问控制---中起中枢作用。
安全管理器定义了沙箱的外部边界，并且它是可以定制的。
安全管理器中需要了解如下一些概念和类：

• 默认安全管理器：java.lang.SecurityManager
• 代码签名和认证
• 策略：java.security.Policy
• 权限：java.security.Permission
• 策略文件
• 保护域：CodeSource,PersimissionCollection,ProtectionDomain
• 访问控制器：java.security.AccessController

这部分内容太多，只能带过了。

Java安全模型的不足
Java安全模型尚不能解决如下问题：

• 不断分配内存，直到内存耗尽
• 不断生成线程导致每件事都慢的不可忍受

以上两中类型的攻击被称作拒绝服务攻击（DOS）
另一个没有放入安全模型的领域是关于将权限映射到系统用户，代码以这个用户的名义来运行。这中访问控制在unix系统中较为常见，它基于用户ID对文件的访问进行控制。

• Java程序设计语言
• Java class文件格式
• Java应用编程接口（API）
• Java虚拟机

二、Java虚拟机

Java虚拟机是Java的面向网络的核心，它支持Java面向网络体系结构三大支柱的所有方面：平台无关性，安全性和网络移动性。Java虚拟机的主要任务是装载class文件并且执行其中的字节码。classloader负责装载class文件，执行引擎负责执行字节码。
    执行引擎
由于Java虚拟机规范只定义了每个虚拟机都必须实现的特性，没有规定具体的实现方法，因此不同的Java虚拟机，执行引擎可能实现的非常不同，一般来说有如下几种实现方法：

1. 一次性解释字节码。
2. 即时编译器(just-in-time compiler)，这种情况下，第一次被执行的字节码会被编译成本地机器代码，编译出的本地机器代码会被缓存，当方法以后被调用的时候可以重用。
3. 自适应优化器，这种情况下，虚拟机开始的时候解释字节码，但是会监视运行中程序的活动，并且记录下使用频繁的代码段，程序运行的时候，虚拟机只会把那些活动最频繁的代码编译成本地版本，其他仍旧保留字节码--由虚拟机继续解释它们。一个自适应的优化器可以使得Java虚拟机在80%-90%的时间里执行被优化过的本地代码。
4. 由硬件芯片构成，由本地方法执行Java字节码，实际上这种实现是把执行引擎内嵌在芯片里。

    Classloader
一个java应用程序可以有两种类装载器：启动类装载器(bootstrap)和用户定义的类装载器，启动类装载器是唯一的，它属于Java虚拟机实现的一部分。
每一个类装载器都有它自己的命名空间，一个类只能”看到“由同一个类装载器装载的其他类，不能跨命名空间访问。
用过允许实例化用户自定义的类装载器（该类装载器知道如何从网络下载class文件），Java类装载器的体系结构提供了对网络移动性的支持；通过允许使用不同的用户定义的类装载器装载不同来源的class文件，Java类装载器的体系结构提供了对完全性的支持。