我打算通过这样的子域访问Tomcat(8.5(管理器：https://tomcat.mydomain.com。
如您所见，连接是通过HTTPS进行的，但这是否会带来安全风险并被视为"不良做法"？
我确实注意到的一个想法是，通过查看 mydomain.com 证书，您可以看到 https://tomcat.mydomain.com 确实存在。这意味着默默无闻没有太多的安全性。
当然，重要的是要正确设置雄猫帐户并受密码保护，我有密码。
可公开访问端点本身并不构成安全风险。但是，在决定是否公开管理界面时，您可能还需要考虑其他注意事项：
- 有多少人拥有该服务的凭据？
- 可以信任所有这些人拥有良好的密码吗？
- 可以信任所有这些人不会在多个站点上重复使用密码吗？
- 您是否启用了锁定(如果在管理器应用程序中使用 Tomcat 的身份验证，则默认启用(？
- 停工能不堪重负吗？(考虑锁定实现(
- 管理员是否确实需要对管理器的公共访问权限？
- 是否可以在公共接口和管理界面之间添加其他安全层？
通常，我通常选择不向公众公开管理界面。我几乎总是要求管理用户通过其他一些门，例如 ssh 隧道(仅具有公钥访问权限(，然后他们才能访问任何管理接口，然后他们通常还会通过该接口进行第二次身份验证(即您不会因为建立了隧道而自动信任您(。
如果我要向公众公开管理界面，我想除了基于密码的身份验证之外，我还想要一些东西。应该涉及其他一些因素，无论是像TOTP或类似这样的常见2FA解决方案，还是TLS客户端证书("相互身份验证"(。
Tomcat 网站上有一个关于升级凭据安全性的演示文稿。其中有示例代码和配置，介绍如何在Tomcat的现有身份验证系统中设置TOTP。您可能希望阅读该演示文稿，并考虑是否要向管理界面添加此类保护。