CentOS下Tomcat权限设置指南
为避免以root身份运行Tomcat带来的安全风险，需创建专用用户及用户组。执行以下命令：
sudo groupadd tomcat # 创建tomcat用户组 sudo useradd -M -s /sbin/nologin -g tomcat -d /opt/tomcat tomcat # 创建无登录权限的tomcat用户（默认主目录设为Tomcat安装路径） 将Tomcat安装目录（如/opt/tomcat）的所有权转移至tomcat用户及用户组，确保其拥有对目录的控制权：
sudo chown -R tomcat:tomcat /opt/tomcat # -R参数递归修改所有子目录及文件的所有权 根据文件类型设置差异化权限，平衡安全性与功能性：
644（所有者可读写，组及其他用户仅可读），防止未经授权的修改：sudo find /opt/tomcat -type f -exec chmod 644 {} \; 755（所有者可读、写、执行，组及其他用户可读、执行），确保Tomcat能访问目录内的文件：sudo find /opt/tomcat -type d -exec chmod 755 {} \; logs目录需允许Tomcat写入日志，设置为755或775（若需组内用户写入）：sudo chmod -R 755 /opt/tomcat/logs # 或775（需谨慎使用） 编辑Tomcat的Systemd服务文件（/etc/systemd/system/tomcat.service），指定运行用户及组，并设置权限掩码：
[Unit] Description=Apache Tomcat Web Application Container After=network.target [Service] Type=forking Environment=JAVA_HOME=/usr/lib/jvm/java-11-openjdk-amd64 # 根据实际Java路径修改 Environment=CATALINA_PID=/opt/tomcat/temp/tomcat.pid Environment=CATALINA_HOME=/opt/tomcat Environment=CATALINA_BASE=/opt/tomcat ExecStart=/opt/tomcat/bin/startup.sh ExecStop=/opt/tomcat/bin/shutdown.sh User=tomcat Group=tomcat UMask=0007 # 权限掩码，确保新创建文件权限为750（所有者可读写执行，组可读执行，其他用户无权限） RestartSec=10 Restart=always [Install] WantedBy=multi-user.target 修改后执行以下命令使配置生效：
sudo systemctl daemon-reload sudo systemctl restart tomcat 若SELinux处于Enforcing模式（sestatus命令显示），需调整SELinux策略以允许Tomcat正常运行：
httpd_sys_content_t（静态内容），logs目录标记为httpd_sys_rw_content_t（可读写）：sudo chcon -R -t httpd_sys_content_t /opt/tomcat sudo chcon -R -t httpd_sys_rw_content_t /opt/tomcat/logs /etc/selinux/config文件，将SELINUX=enforcing改为SELINUX=permissive（临时允许），重启系统后再改回enforcing（强制模式）。sudo setsebool -P tomcat_execmem 1 允许外部访问Tomcat默认端口（8080），并限制仅信任IP访问（可选）：
sudo firewall-cmd --permanent --zone=public --add-port=8080/tcp # 开放8080端口 sudo firewall-cmd --reload # 重新加载防火墙配置 若需限制IP访问，可将--add-port替换为--add-rich-rule：
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="8080" accept' 编辑/opt/tomcat/conf/tomcat-users.xml文件，添加管理员及管理界面访问用户：
<tomcat-users> <!-- 定义角色 --> <role rolename="manager-gui"/> <!-- 管理界面访问权限 --> <role rolename="admin-gui"/> <!-- 管理员权限 --> <!-- 添加用户并分配角色 --> <user username="admin" password="strong_password" roles="manager-gui,admin-gui"/> </tomcat-users> 修改后重启Tomcat使配置生效：
sudo systemctl restart tomcat 编辑/etc/security/limits.d/90-nproc.conf文件，增加Tomcat用户的进程数及文件描述符限制，避免高并发时出现资源不足错误：
* soft nproc 4096 # 软限制：最多4096个进程 * hard nproc 8192 # 硬限制：最多8192个进程 tomcat soft nofile 4096 # Tomcat用户软限制：最多4096个文件描述符 tomcat hard nofile 16384 # Tomcat用户硬限制：最多16384个文件描述符 执行ulimit -a命令验证设置是否生效。
