debian tomcat权限怎么设

在 Debian 上部署 Tomcat 时，权限设置的核心原则是：
不要用 root 运行 Tomcat，使用专门的低权限用户（如 tomcat），并正确设置目录归属和文件权限。

下面按常见场景说明。

一、Tomcat 用户和组（推荐做法）

1. 创建专用用户（通常已自动创建）

sudo useradd -r -m -U -d /opt/tomcat -s /bin/false tomcat

如果是 apt 安装：

sudo apt install tomcat9

Debian 会自动创建 tomcat 用户和组。

二、目录权限设置（最关键）

假设 Tomcat 安装在 /opt/tomcat

1. 修改目录归属

sudo chown -R tomcat:tomcat /opt/tomcat

2. 推荐权限

sudo chmod 750 /opt/tomcat
sudo chmod 750 /opt/tomcat/bin
sudo chmod 750 /opt/tomcat/conf
sudo chmod 750 /opt/tomcat/logs
sudo chmod 750 /opt/tomcat/webapps

• bin/, conf/：只有 tomcat 用户能读和执行
• webapps/：tomcat 需要写（部署）

三、Tomcat 以非 root 运行

apt 安装（推荐）

sudo systemctl start tomcat9
sudo systemctl enable tomcat9

查看运行用户：

ps -ef | grep tomcat

手动安装（startup.sh）

不要用 root 执行：

sudo -u tomcat /opt/tomcat/bin/startup.sh

四、端口权限（80 / 443）

Tomcat 不能直接用 root 绑定 80/443

方案 1：反向代理（最推荐）

server {
    listen 80;
    location / {
        proxy_pass http://127.0.0.1:8080;
    }
}

方案 2：setcap（不推荐生产）

sudo setcap CAP_NET_BIND_SERVICE=+eip /opt/tomcat/bin/java

五、日志和临时目录

sudo chown -R tomcat:tomcat /opt/tomcat/logs
sudo chown -R tomcat:tomcat /opt/tomcat/temp
sudo chown -R tomcat:tomcat /opt/tomcat/work

六、常见错误

❌ 用 root 启动 Tomcat
❌ chmod 777 整个目录（极不安全）
❌ webapps 可被其他用户写

七、最小权限示例（安全基线）

如果你能告诉我：

• apt 安装还是手动解压？
• Tomcat 版本？
• 是否用 80/443？
• 是否多用户部署？

我可以给你完全针对性的权限方案。