1. 环境准备：纯净安装与版本匹配
在Ubuntu上部署Tomcat前，需确保系统环境干净且版本兼容。首先通过sudo apt update && sudo apt upgrade更新系统，避免旧包冲突；接着安装OpenJDK（推荐11及以上稳定版本），使用sudo apt install openjdk-11-jdk命令，安装后通过java -version验证版本。下载Tomcat时，优先选择Apache官网的最新稳定版（如Tomcat 9/10），并解压至专用目录（如/opt/tomcat），避免与其他应用混放。
2. 权限与安全：最小化原则与加固措施
遵循“最小权限”原则，为Tomcat创建专用系统用户（如tomcat），禁止登录权限：sudo groupadd tomcat && sudo useradd -s /bin/false -g tomcat -d /opt/tomcat tomcat。将Tomcat目录所有权赋予该用户：sudo chown -R tomcat:tomcat /opt/tomcat。调整目录权限：conf（770，配置文件加密）、logs（755，审计权限）、webapps（755，禁止执行权限）、work（700，临时文件隔离）。禁用生产环境的管理界面（如host-manager、manager），修改server.xml中的shutdown指令为复杂字符串（如NEW_SECRET_CODE），防止未授权关闭。
3. 服务化管理：Systemd配置与可靠性
通过Systemd管理Tomcat服务，实现开机自启、状态监控与自动重启。创建/etc/systemd/system/tomcat.service文件，内容需包含：
[Unit] Description=Apache Tomcat Web Application Container After=network.target [Service] Type=forking Environment="JAVA_HOME=/usr/lib/jvm/java-11-openjdk-amd64" Environment="CATALINA_PID=/opt/tomcat/temp/tomcat.pid" Environment="CATALINA_HOME=/opt/tomcat" Environment="CATALINA_BASE=/opt/tomcat" Environment="CATALINA_OPTS=-Xms512M -Xmx1024M -server -XX:+UseParallelGC" Environment="JAVA_OPTS=-Djava.awt.headless=true -Djava.security.egd=file:/dev/./urandom" ExecStart=/opt/tomcat/bin/startup.sh ExecStop=/opt/tomcat/bin/shutdown.sh User=tomcat Group=tomcat UMask=0007 RestartSec=10 Restart=always [Install] WantedBy=multi-user.target 加载配置并启动服务：sudo systemctl daemon-reload && sudo systemctl start tomcat && sudo systemctl enable tomcat。
4. 性能优化：JVM与连接器调优
JVM调优是提升Tomcat性能的关键，需根据服务器内存调整堆大小（如-Xms512M -Xmx1024M，初始堆与最大堆一致避免频繁GC），选择合适的垃圾回收器（如-XX:+UseParallelGC，适用于吞吐量优先场景）。在server.xml中配置连接器参数，优化线程池（maxThreads=200，最大并发线程数；minSpareThreads=10，最小空闲线程数；acceptCount=100，最大等待队列长度），启用压缩（compression="on"，compressableMimeType="text/html,text/xml,text/css,application/json"）减少传输体积。
5. 安全配置：SSL/TLS与访问控制
启用SSL/TLS加密通信，获取证书后修改server.xml，添加如下连接器（以PKCS12格式为例）：
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" keystoreFile="/path/to/your/keystore.p12" keystorePass="your_keystore_password" keyAlias="tomcat" clientAuth="false" sslProtocol="TLS" /> 禁用默认的管理控制台（如host-manager、manager），或通过tomcat-users.xml配置强密码并限制访问IP（如仅允许内网访问）。
6. 部署规范：WAR包与原子化操作
应用部署需遵循原子化原则，避免直接修改运行中的webapps目录。将WAR包复制至webapps目录（如cp your-app.war /opt/tomcat/webapps/），Tomcat会自动解压部署。若需回滚，直接替换WAR包即可（Tomcat会自动重新解压）。避免热部署（如直接修改webapps下的文件），防止类加载冲突与内存泄漏。
7. 日志与监控：问题排查与运维支撑
配置日志轮转，避免catalina.out日志过大，编辑logging.properties文件，设置日志级别（如org.apache.catalina.level=INFO）和输出路径。使用监控工具（如Prometheus+Grafana）实时监控Tomcat的线程池使用率、内存占用、响应时间等指标，设置报警阈值（如内存使用率超过80%触发报警）。定期检查日志文件（如catalina.out、localhost.log），通过grep、awk等工具分析错误日志，及时定位问题。
8. 高可用性：集群部署与故障转移
对于生产环境，建议部署Tomcat集群提升可用性。配置多个Tomcat实例（如/opt/tomcat1、/opt/tomcat2），修改每个实例的server.xml，启用集群配置（<Cluster>标签），设置会话复制（<Manager>标签的notifyListenersOnReplication="true"）。使用Nginx或HAProxy作为负载均衡器，将请求分发至集群节点，配置健康检查（如检查/health接口），实现故障转移（当某节点宕机时，自动将请求转发至健康节点）。
