Debian Tomcat如何设置用户

在 Debian 上设置 Tomcat 用户，通常是指为 Tomcat Manager / Host Manager 配置可登录的用户。下面按 最常见、最安全 的方式一步一步说明（以 Tomcat 9 / 10 为例，Tomcat 8 类似）。

一、编辑用户配置文件

Tomcat 的用户和角色定义在：

/etc/tomcat9/tomcat-users.xml

（如果是 Tomcat 10，可能是 tomcat10）

编辑该文件：

sudo nano /etc/tomcat9/tomcat-users.xml

二、添加用户和角色

在 <tomcat-users> 标签内添加如下内容（不要写在注释里）：

<role rolename="manager-gui"/>
<role rolename="admin-gui"/>

<user username="tomcat" password="strongpassword"
      roles="manager-gui,admin-gui"/>

说明：

角色	作用
`manager-gui`	访问 Web 应用管理界面
`admin-gui`	访问 Virtual Host 管理界面
`manager-script`	脚本部署（如 Jenkins）
`manager-jmx`	JMX 代理

✅ 生产环境建议：

使用复杂密码
不要给多余角色

三、允许远程访问（非常重要）

Tomcat 默认禁止远程访问 Manager，否则就算配了用户也无法登录。

1️⃣ 找到 Manager 配置

sudo nano /usr/share/tomcat9-admin/manager/META-INF/context.xml

或：

sudo nano /var/lib/tomcat9/webapps/manager/META-INF/context.xml

2️⃣ 注释或删除 IP 限制

原内容：

<Valve className="org.apache.catalina.valves.RemoteAddrValve"
       allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1" />

✅ 改为（或注释掉）：

<!--
<Valve className="org.apache.catalina.valves.RemoteAddrValve"
       allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1" />
-->

⚠️ 生产环境建议：
使用防火墙或只放行固定 IP，而不是完全关闭限制。

四、重启 Tomcat

sudo systemctl restart tomcat9

查看状态：

sudo systemctl status tomcat9

五、访问验证

浏览器访问：

http://服务器IP:8080/manager/html

使用你配置的用户名 / 密码登录。

六、仅用于 Jenkins / 脚本部署（可选）

如果你只是用于 CI/CD 自动部署，推荐这样配置：

<role rolename="manager-script"/>
<user username="deployer" password="deploy123"
      roles="manager-script"/>

七、常见问题

❌ 403 错误

用户没配角色
Manager 被 IP 限制
修改了文件但没重启 Tomcat

❌ 用户配置不生效

写在注释里 
文件格式错误

八、总结（最精简）

<role rolename="manager-gui"/>
<user username="tomcat" password="密码"
      roles="manager-gui"/>

修改 context.xml
重启 Tomcat

如果你告诉我：

✅ Tomcat 版本
✅ 是否是本地 / 云服务器
✅ 是否用于 Jenkins / Docker

我可以给你 更精确、更安全的配置方案。