Tomcat 如何确保Solr只允许用户选择请求，而不允许其他任何操作？

这就是我到目前为止为保护SOLR应用程序所做的工作

在SOLR的web.xml文件中，我尝试执行以下操作

• 仅允许/选择对用户或管理员请求的请求
• 不允许向SOLR发出除管理员之外的所有其他请求

我已经在SOLR的web.xml文件中添加了安全约束

Solr管理员
/* 
管理
公开的
/主/选择/*
/重新索引/选择/*
用户
管理

这就是我在客户端应用程序中实例化SOLR HTTP连接的方式

//主核
HttpSolrServer primaryindex=新的HttpSolrServer（serverUrl+“/”+primaryindex）；
HttpClientUtil.setBasicAuth（（DefaultHttpClient）primaryindex.getHttpClient（），“用户”，“用户”）；
//重新索引核心
HttpSolrServer reindex=新的HttpSolrServer（服务器URL+“/”+reindex）；
HttpClientUtil.setBasicAuth（（DefaultHttpClient）reindex.getHttpClient（），“user”，“user”）；

tomcat-users.xml文件的角色和用户设置如下

上述方法非常有效。显然，在生产中，我将有更强大的用户名和密码

问题

我还需要什么来保护我的SOLR实例吗？或者上述内容就足够了吗？我有一个运行客户端应用程序和SOLR应用程序的Tomcat7实例。这就是我想要达到的目标

• 不想让任何人在没有用户名和密码的情况下登录到管理员
• 不希望任何人访问core的其他客户端应用程序

---

我可以在上面的基础上将Spring安全性添加到SOLR中，但这是必要的吗？

如果您启用了复制处理程序，请确保将其放在一个安全角色后面。我看到人们做的另一件事是在不同的端口上运行admin。最好在需要身份验证的页面上使用SSL，这样就不会以明文形式发送密码，这样管理员和复制将在8443上进行，而常规查询将在8080上进行

如果您要签署自己的证书，请查看此有用的SO页面：

---

我不知道/admin是SOLR admin的上下文，因为/admin实际上没有出现在URL中。但是在web.xml中为/admin添加

安全约束

，可以保护admin应用程序

管理
/管理员/*
/admin.html
管理
管理员图像
*.png
管理
消化
管理