Запись фильтра Tomcat HttpHeaderSecurityFilter игнорируется в conf/web.xml

Question

Я пытаюсь включить фильтр HttpHeaderSecurityFilter в Tomcat для борьбы с атаками с щелчком. Я хочу, чтобы это применимо ко всем приложениям, поэтому не комментировали фильтр < по умолчанию > и < filter-mapping > записей для этого фильтра в собственном файле confc/web.xml Tomcat.

Это, кажется, полностью игнорируется Tomcat, хотя из того, что я могу сказать. Я добавил файл META-INF/context.xml в одно из моих веб-приложений следующим образом, чтобы увидеть эффективный файл web.xml, который Tomcat использует для приложения после слияния файла conf/web.xml с собственным файлом приложения.

<?xml version="1.0" encoding="utf-8" standalone="no"?> 
<Context logEffectiveWebXml="true"></Context> 

Результирующий выходной в catalina.log выглядит действительным (содержание обоих файлов объединены) с тем исключением, что записи фильтра из Conf/web.xml отсутствуют. Я попытался представить свои собственные дополнительные записи фильтров и обнаружил, что они также не отображаются в эффективном web.xml.

Если я скопировать HttpHeaderSecurityFilter фильтр и фильтр-отображения записей в собственный файл web.xml веб-приложения, он отлично работает (но это явно не то, что я хочу!)

Есть ли какой-то трюк, чтобы сделать Tomcat почитать записи фильтров в conf/web.xml?

я в конечном счете, это нужно, чтобы работать как в Tomcat 7 и 8. (Я знаю, встроенный фильтр был добавлен только в Tomcat 7.0.63.)

Answer 1

В конечном счете, этот фильтр начал работать для меня без каких-либо особое изменение (очень неудовлетворительное разрешение, но ...). Существует некоторая возможность, с которой она работала с самого начала, хотя я уверен, что наблюдал, что страницы успешно загружаются в iframe с исходным фильтром. Просто не уверен сейчас.

Возможно, полезным для других было то, что эффективный вывод журнала web.xml никогда не содержал в нем данные фильтра, даже когда я был в состоянии проверить, работает ли фильтр. Это похоже на ошибку Tomcat. (Обратите внимание, что я проверил только эффективный журнал web.xml на Tomcat 8.)