百度搜了一遍，tomcat 有类似的漏洞，但是我的版本已经修复。实测直接访问 tomcat 地址 xxx.jsp/报 404 ，访问 nginx 地址 xxx.jsp/弹出下载…