nginx 反代 tomcat 后， url 带斜杠出现源码下载漏洞

[FONG2]

百度搜了一遍，tomcat 有类似的漏洞，但是我的版本已经修复。 实测直接访问 tomcat 地址 xxx.jsp/报 404 ， 访问 nginx 地址 xxx.jsp/弹出下载请求，能把这个 jsp 源码下回来， 怎么破？ 百度没找到相应漏洞说明， 我尝试用 rewire 屏蔽后斜杠，但是导致 xxx.com/aa/打不开了。

[encro]

能下载源码，就是因为 nginx 规则没有匹配上，走了其他规则了，应该是你的 root 设置错了，将 root 设置到 public 目录上试试。

[encro]

nginx 配置好后重启（-s reload ）前，
需要 -t 测试一遍，
否则会走上次成功的配置！！！

[FONG2]

@xiaoDevil
@ipwx
@lolizeppelin
@elevioux
@encro
最新发现，关了 tomcat 还能下载！页面访问不了，后面加斜杠还是可以下载！
root 加上了，nginx 重启过了
无效…

[ipwx]

换个 http 服务器比如 caddy 如何