禁用Tomcat中的所有默认HTTP错误响应内容

默认情况下，Tomcat的发送一些HTML内容返回给客户端，如果它通过遇到类似的HTTP 404。我知道，web.xml一个<error-page> 可以配置自定义此内容。

但是，我只希望Tomcat不发送任何响应内容（当然，我仍然希望状态码）。有什么方法可以轻松配置它吗？

我试图避免A）从我的Servlet在响应流上显式发送空内容，以及B）在我的中为一堆HTTP错误状态配置自定义错误页面web.xml。

在某些背景下，我正在开发HTTP API并控制自己的响应内容。例如，对于HTTP 500，我在响应中填充了一些XML内容，其中包含错误信息。对于HTTP 404之类的情况，HTTP响应状态对于客户端来说足够了，并且tomcat正在发送的内容是不必要的。如果有其他方法，我愿意听。

编辑： 经过不断调查，我仍然找不到解决方案的方法。如果有人可以肯定地说这是不可能的，或者提供了一个资源证明它行不通，那么我将接受它作为答案并尝试解决它。

如果您不想tomcat显示错误页面，则不要使用sendError（...）。而是使用setStatus（...）。

例如，如果您想给出405响应，那么您可以

response.setStatus(HttpServletResponse.SC_METHOD_NOT_ALLOWED);      
response.getWriter().println("The method " + request.getMethod() + 
   " is not supported by this service.");

还要记住不要从servlet抛出任何异常。而是捕获Exception，然后再次设置自己的statusCode。

即

protected void service(HttpServletRequest request,
      HttpServletResponse response) throws IOException {
  try {

    // servlet code here, e.g. super.service(request, response);

  } catch (Exception e) {
    // log the error with a timestamp, show the timestamp to the user
    long now = System.currentTimeMillis();
    log("Exception " + now, e);
    response.setStatus(HttpServletResponse.SC_INTERNAL_SERVER_ERROR);
    response.getWriter().println("Guru meditation: " + now);
  }
}

当然，如果您不想要任何内容​​，则只需不向写者写任何东西，只需设置状态即可。

尽管这并不能完全回答问题和Clive Evans的回答，但我发现在tomcat中，您可以使那些冗长的文本从错误页面移开而无需创建自定义ErrorReportValve。

您可以通过“ server.xml”上的2个参数“ showReport”和“ showServerInfo”完成此自定义ErrorReportValve的操作：

<Valve className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false" />

链接到官方文档。

在tomcat 7.0.55上为我工作，在tomcat 7.0.47上不为我工作（我认为是由于以下链接http://www.mail-archive.com/users@tomcat.apache.org上报告的某些内容）/msg113856.html）

阻止Tomcat发送任何错误正文的一种快速，稍微肮脏但简单的方法是针对tomcat主机调用setErrorReportValveClass，它具有一个自定义的错误报告阀，该阀会覆盖报告而不执行任何操作。即：

public class SecureErrorReportValve extends ErrorReportValve {

@Override
protected void report(Request request,Response response,Throwable throwable) {
}

}

并设置为：

  ((StandardHost) tomcat.getHost()).setErrorReportValveClass(yourErrorValveClassName);

如果您想发送消息，而只是认为Tomcat不应与之混淆，那么您需要采取以下措施：

@Override
protected void report(final Request request, final Response response, final Throwable throwable) {
    String message = response.getMessage();
    if (message != null) {
        try {
            response.getWriter().print(message);
            response.finishResponse();
        } catch (IOException e) {
        }
    }
}

如Heikki所说，设置状态而不是sendError()导致Tomcat不接触响应实体/主体/有效负载。

如果您只想发送没有任何实体的响应标头，例如我的情况，

response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
response.setContentLength(0);

绝招。使用Content-Length: 0，print()即使使用，也将无效，例如：

response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
response.setContentLength(0);
response.getWriter().print("this string will be ignored due to the above line");

客户收到以下信息：

HTTP/1.1 401 Unauthorized
Server: Apache-Coyote/1.1
Content-Type: text/html;charset=utf-8
Content-Length: 0
Date: Wed, 28 Sep 2011 08:59:49 GMT

如果要发送一些错误消息，请使用setContentLength()带消息长度（不为零），或者可以将其留给服务器

尽管它符合Servlet规范，但出于安全原因，我不希望tomcat或任何其他Servlet容器发送错误详细信息。我也为此感到挣扎。搜索并尝试后，解决方案可以总结为：

1. 正如其他人提到的，不要使用sendError()，setStatus()而应 使用
2. 像Spring Security这样的框架sendError()虽然使用...
3. 写了Filter这
   一个。将呼叫重定向sendError()到setStatus()
   b。最后刷新响应，以防止容器进一步修改响应

可以在此处找到一个小示例servlet过滤器示例。

尽管这个问题有点老了，但我也遇到了这个问题。首先，Tomcat的行为是绝对正确的。这是根据Servlet规范。不应违反规范更改Tomcat的行为。如Heikki Vesalainen和mrCoder所述，仅使用setStatus和setStatus。

要敬启者，我都提出了票使用Tomcat改善的文档sendError。

为什么不只为<error-page>元素配置一个空白的HTML页面呢？

在中配置<error-page>元素web.xml

编辑$CATALINA_HOME/conf/web.xml，最后添加以下内容<error-page>，保存并重新启动tomcat

<web-app>

...
...
...

    <error-page>
        <error-code>404</error-code>
        <location>/404.html</location>
    </error-page>

    <error-page>
        <error-code>500</error-code>
        <location>/500.html</location>
    </error-page>

    <error-page>
        <error-code>400</error-code>
        <location>/400.html</location>
    </error-page>

</web-app>

• 即使我实际上没有为那些指定的location值（例如/400.html）创建有效的路由，它也可以按我期望的那样很好地工作

之前

后