debian tomcat日志权限怎设置

在 Debian 上运行 Tomcat 时，日志权限问题通常出现在以下几种场景：

• Tomcat 以非 root 用户运行（推荐 tomcat 或 www-data）
• 日志目录 /var/log/tomcat* 权限不对
• logrotate 之后新日志文件权限异常
• systemd 启动导致日志无法写入

下面按推荐做法说明。

一、确认 Tomcat 运行用户

Debian 下常见用户：

ps aux | grep tomcat

一般看到的是：

• tomcat
• tomcat9
• www-data

⚠️ 不要用 root 跑 Tomcat

二、标准日志目录权限（Debian 包安装）

Debian 通过 apt 安装的 Tomcat（如 tomcat9）：

/var/log/tomcat9

正确权限示例：

sudo chown -R tomcat:adm /var/log/tomcat9
sudo chmod 750 /var/log/tomcat9

说明：

• tomcat：运行用户
• adm：允许系统管理员读日志
• 750：防止其他用户访问

三、单个日志文件权限

sudo chown tomcat:adm /var/log/tomcat9/*.log
sudo chmod 640 /var/log/tomcat9/*.log

四、如果 Tomcat 无法写日志（常见错误）

1. 启动报 Permission denied

java.io.FileNotFoundException: /var/log/tomcat9/catalina.out

解决：

sudo chown tomcat:tomcat /var/log/tomcat9
sudo chmod 755 /var/log/tomcat9

2. systemd 环境（tomcat9）

编辑：

sudo systemctl edit tomcat9

确保：

[Service]
LogsDirectory=/var/log/tomcat9
LogsDirectoryMode=0750

然后：

sudo systemctl daemon-reload
sudo systemctl restart tomcat9

五、logrotate 后权限不对

Debian 默认：

/etc/logrotate.d/tomcat9

确保包含：

create 0640 tomcat adm

示例：

/var/log/tomcat9/*.log {
    daily
    missingok
    rotate 14
    compress
    delaycompress
    notifempty
    create 0640 tomcat adm
    sharedscripts
    postrotate
        systemctl reload tomcat9 >/dev/null 2>&1 || true
    endscript
}

六、手动安装 Tomcat（非 apt）

如果你是自己解压的 Tomcat：

/opt/tomcat/logs

设置：

sudo chown -R tomcat:tomcat /opt/tomcat/logs
sudo chmod 750 /opt/tomcat/logs

七、推荐安全配置总结

✅ 使用专用用户（tomcat）
✅ 日志目录 750
✅ 日志文件 640
✅ 属主 tomcat:adm
✅ logrotate 指定用户和权限

如果你愿意，可以告诉我：

• Debian 版本
• Tomcat 版本
• 是 apt 安装还是手动安装
• 具体报错信息

我可以给你精确命令。