轻量应用服务器配置（三）——安装Tomcat

一、环境准备与Tomcat版本选择

在轻量应用服务器（如CentOS/Ubuntu）上部署Tomcat前，需完成三项基础准备：

1. JDK环境验证：执行java -version确认已安装OpenJDK或Oracle JDK，推荐使用JDK 11/17（LTS版本）。若未安装，可通过包管理器安装（如CentOS的yum install java-11-openjdk-devel）。
2. 服务器资源评估：根据应用负载选择Tomcat版本。对于内存≤2GB的轻量服务器，建议使用Tomcat 9.0（内存占用较Tomcat 10低15%），若需支持Jakarta EE 9+则选择Tomcat 10.1。
3. 下载与校验：从Apache官网获取二进制包（如apache-tomcat-10.1.15.tar.gz），通过sha512sum校验文件完整性，避免使用第三方修改版。

二、标准化安装流程

1. 解压与目录规划

# 创建专用目录（避免/opt混用）
sudo mkdir -p /srv/tomcat
sudo tar -xzvf apache-tomcat-*.tar.gz -C /srv/tomcat --strip-components=1
sudo chown -R tomcat_user:tomcat_group /srv/tomcat  # 需提前创建用户

关键点：使用非root用户运行Tomcat，通过useradd -m tomcat_user创建专用账户，限制权限提升风险。

2. 环境变量配置

在/etc/profile.d/tomcat.sh中设置：

export CATALINA_HOME=/srv/tomcat
export JAVA_OPTS="-Xms512m -Xmx1024m -XX:+UseG1GC"  # 根据实例规格调整

内存参数建议：

• 1GB内存服务器：-Xms256m -Xmx512m
• 2GB内存服务器：-Xms512m -Xmx1536m
• 启用G1垃圾回收器提升长运行稳定性

3. 服务化配置

创建Systemd服务文件/etc/systemd/system/tomcat.service：

[Unit]
Description=Apache Tomcat Web Application Container
After=syslog.target network.target
[Service]
Type=forking
Environment=JAVA_HOME=/usr/lib/jvm/java-11-openjdk
Environment=CATALINA_PID=/srv/tomcat/temp/tomcat.pid
Environment=CATALINA_HOME=/srv/tomcat
Environment=CATALINA_BASE=/srv/tomcat
ExecStart=/srv/tomcat/bin/startup.sh
ExecStop=/srv/tomcat/bin/shutdown.sh
User=tomcat_user
Group=tomcat_group
UMask=0007
RestartSec=10
Restart=always
[Install]
WantedBy=multi-user.target

执行步骤：

sudo systemctl daemon-reload
sudo systemctl enable tomcat
sudo systemctl start tomcat

三、安全加固方案

1. 管理接口保护

修改conf/tomcat-users.xml，使用强密码并限制访问IP：

<role rolename="manager-gui"/>
<user username="admin" password="加密密码" roles="manager-gui"/>

在webapps/manager/META-INF/context.xml中添加：

<Context antiResourceLocking="false" privileged="true">
  <Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow="127.0.0.1,192.168.1.100"/>  # 仅允许特定IP访问
</Context>

2. SSL证书配置

使用Let’s Encrypt免费证书：

# 安装Certbot
sudo apt install certbot python3-certbot-nginx  # Ubuntu示例
# 获取证书（需提前配置域名解析）
sudo certbot certonly --nginx -d example.com
# 配置Tomcat SSL
# 1. 将证书转换为PKCS12格式
openssl pkcs12 -export -in /etc/letsencrypt/live/example.com/fullchain.pem \
-inkey /etc/letsencrypt/live/example.com/privkey.pem \
-out /srv/tomcat/conf/keystore.p12 -name tomcat -CAfile /etc/letsencrypt/live/example.com/chain.pem \
-caname root -password pass:密钥密码
# 2. 修改server.xml
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/keystore.p12"
                     type="RSA" certificateKeystorePassword="密钥密码"/>
    </SSLHostConfig>
</Connector>

3. 文件权限优化

# 设置目录权限（750）和文件权限（640）
sudo find /srv/tomcat -type d -exec chmod 750 {} \;
sudo find /srv/tomcat -type f -exec chmod 640 {} \;
# 关键目录特殊处理
sudo chmod 700 /srv/tomcat/bin/*.sh
sudo chmod 750 /srv/tomcat/webapps

四、性能调优策略

1. 线程池配置

修改conf/server.xml中的Executor配置：

<Executor name="tomcatThreadPool" namePrefix="catalina-exec-"
          maxThreads="200" minSpareThreads="10"
          maxQueueSize="100" prestartminSpareThreads="true"/>
<Connector executor="tomcatThreadPool" port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000" redirectPort="8443"/>

参数建议：

• 轻量服务器（2核4GB）：maxThreads=150
• 高并发场景：启用acceptCount="50"防止连接堆积

2. JDBC连接池优化

在context.xml中配置HikariCP（需将jar包放入lib/）：

<Resource name="jdbc/TestDB" auth="Container"
          type="javax.sql.DataSource"
          maxTotal="20" maxIdle="10" maxWaitMillis="10000"
          username="dbuser" password="dbpass"
          driverClassName="com.mysql.cj.jdbc.Driver"
          url="jdbc:mysql://localhost:3306/mydb?useSSL=false"/>

3. 监控与日志

启用JMX监控（修改setenv.sh）：

export JAVA_OPTS="$JAVA_OPTS -Dcom.sun.management.jmxremote \
-Dcom.sun.management.jmxremote.port=9090 \
-Dcom.sun.management.jmxremote.ssl=false \
-Dcom.sun.management.jmxremote.authenticate=false"

配置日志轮转（使用logrotate）：

/srv/tomcat/logs/catalina.out {
    copytruncate
    daily
    rotate 7
    compress
    missingok
    size 50M
}

五、常见问题解决方案

1. 端口冲突：执行netstat -tulnp | grep 8080确认端口占用，修改server.xml中的端口号。
2. 内存溢出：通过jmap -heap <pid>分析堆内存，调整-Xmx参数并检查是否有内存泄漏。
3. 404错误：检查webapps目录权限，确认应用WAR包已正确解压。
4. 启动缓慢：在conf/logging.properties中将org.apache.catalina.startup.ContextConfig.level = FINE改为WARNING减少日志输出。

六、进阶部署建议

1. 容器化部署：使用Docker镜像（如tomcat:10.1-jre17-temurin）实现环境一致性。
2. 集群配置：通过<Cluster>元素实现会话复制，需配置<Manager className="org.apache.catalina.ha.session.DeltaManager"/>。
3. CI/CD集成：在Jenkins中配置Tomcat部署流水线，使用curl --upload-file app.war "http://tomcat:password@localhost:8080/manager/text/deploy?path=/app"实现自动化部署。

通过以上系统化配置，可在轻量应用服务器上构建出安全、高效、易维护的Tomcat运行环境。实际部署时需根据具体业务场景调整参数，并定期通过jstat -gcutil <pid>等工具监控系统健康状态。