核心原則：最小權限、最新版本、隱藏版本資訊

1. 升級最新版修補舊漏洞。
2. 修改管理後台帳密（tomcat-user.xml）。
3. 降權執行：預設 System 權限過高，建立專用 tomcat 用戶（複雜密碼、不屬任何群組）→ 本地安全策略加入「作為服務登入」→ 目錄僅授權 Administrators 與 tomcat 完全控制，移除其它帳號。
4. 最小權限授予日誌與 Web 目錄：日誌目錄僅「讀取/寫入」；Web 目錄視需求授予。
5. 授權 Java 目錄給 tomcat 用戶，否則啟動報錯。
6. Apache+Tomcat 架構：Apache 服務同以 tomcat 用戶執行，目錄授予讀寫執行權限。
7. 自定義 404/500 錯誤頁：conf/web.xml 加入 error-page 對應 /404.html、/500.html，放入 webapps/ROOT。