Tomcat的基础使用

目录

一、概念

1.1 概念

1.2 核心能力

1.3 Tomcat的限制

1.4 核心组件

1.5 请求处理流程（简化）

二、基本操作

2.1 下载与安装

2.2 启动与停止

2.3 访问测试

2.4 部署应用

三、目录结构与核心配置文件

3.1 目录结构

3.2 核心配置文件

3.2.1 conf/server.xml

3.2.2 conf/web.xml

3.2.3 conf/context.xml

3.2.4 conf/tomcat-users.xml

一、概念

1.1 概念

Tomcat 是一个 Web 容器（Web Container），更精确地说，它主要是一个 Servlet 容器（Servlet Container）。它实现了 Java Servlet、JSP（JavaServer Pages）、WebSocket 等规范。

• Web 应用服务器 (Web Server)：它能处理 HTTP 请求，将静态内容（如 HTML、图片）返回给客户端（如浏览器）。在这方面，它类似于 Nginx 或 Apache HTTP Server，但能力远不止于此。

• Servlet 容器 (Servlet Container)：这是它的核心身份。它实现了 Java Servlet、JSP (JavaServer Pages) 和 EL (Expression Language) 等 Java EE（现 Jakarta EE）规范。它的主要工作是管理和执行编写的 Servlet 和 JSP 程序。核心职责：

  • 生命周期管理：负责创建、初始化、调用服务和最终销毁Servlet实例。你不用自己写main方法来启动它，容器会处理这一切。

  • 网络通信：监听一个网络端口（通常是8080），处理进来的HTTP请求（请求行、请求头、请求体等），并将这些请求封装成标准的Java对象（HttpServletRequest）。

  • 会话管理：自动为不同的用户创建和管理会话（HttpSession），例如使用Cookie或URL重写来跟踪用户状态。

  • 资源管理：提供了一种统一的方式來读取Web应用的文件（如配置文件、图片等），通常通过ServletContext对象。

  • 将响应返回给客户端：获取你的Servlet代码生成的响应（写入HttpServletResponse对象），并将其格式化成正确的HTTP响应报文，发送回浏览器。

因此，Tomcat 更像是一个 “Java Web 应用运行时环境”，专门用来运行用 Java 技术栈（Servlet/JSP）开发的 Web 应用程序。

1.2 核心能力

• 处理 HTTP 请求：Tomcat 监听端口（默认8080），接收、解析HTTP请求，并将请求交给对应的Servlet处理。

• Servlet/JSP 生命周期管理：负责加载、初始化、执行和销毁 Servlet 和 JSP 文件。

• 会话（Session）管理：提供HTTP会话管理机制，如通过Cookie或URL重写来跟踪用户会话状态。

• 安全性：支持基于配置文件的认证和授权（如基本认证、表单认证）。

• 静态资源服务：可以像普通Web服务器一样提供HTML、图片、CSS、JS等静态文件。

• 轻量级与易用性：部署简单，启动快速，资源占用相对较小，是开发和部署中小型Web应用的首选。

1.3 Tomcat的限制

Tomcat 的边界就在于它 仅仅 是一个 Web 容器，而不是一个 完整的 Java EE（现 Jakarta EE）应用服务器。这意味着它缺少对很多企业级功能的原生支持：

• 不支持 EJB（核心限制）：这是最关键的一点。Tomcat 不能 运行 EJB（Enterprise JavaBeans）。EJB 需要的是一个 EJB 容器，而 Tomcat 没有内置这个容器。

EJB（Enterprise JavaBeans） 是 Java EE（Jakarta EE）平台中用于开发分布式、事务性、可扩展且安全的服务器端业务组件的标准架构。EJB 旨在将开发者从编写处理事务、安全性、并发、远程访问等底层基础设施代码中解放出来。开发者只需专注于业务逻辑，而由 EJB 容器（运行在应用服务器内）来提供这些复杂的“企业级”服务。

• 有限的支持服务：

  • JMS（Java Message Service）：Tomcat 不提供原生的JMS消息代理功能。你需要集成外部消息中间件（如 ActiveMQ、RabbitMQ）并手动管理连接工厂等资源。

  • JTA（Java Transaction API）：Tomcat 没有内置的全局事务管理器。它支持本地事务（如JDBC事务），但如果你需要管理跨多个数据库或资源（如数据库+消息队列）的分布式事务，则需要集成第三方JTA实现（如 Bitronix, Atomikos），配置复杂。

  • JCA（Java EE Connector Architecture）：不支持连接企业信息系统（EIS）的标准架构。

  • 完整的JPA persistence：虽然可以通过集成Hibernate等ORM框架来使用JPA，但Tomcat本身不提供容器管理持久化（CMP）等高级功能。

• 管理和监控工具相对简单：相比WebLogic、WebSphere等全功能应用服务器，Tomcat提供的管理和监控功能（如JMX）较为基础。

Tomcat 非常适合基于 Servlet/JSP 的 Web 应用程序。 如果你的应用主要是处理HTTP请求、展示页面、使用Spring/Spring Boot等轻量级框架（它们自己提供了事务管理、依赖注入等功能来弥补Tomcat的不足），那么Tomcat是完美选择。

但是， 如果你的应用需要完整的、开箱即用的企业级功能，如EJB、分布式事务、JMS消息队列，那么你需要一个功能完整的应用服务器（如 WildFly, JBoss EAP, IBM WebSphere, Oracle WebLogic）。

1.4 核心组件

这些组件都在 conf/server.xml 文件中进行配置。

• Server：代表整个 Tomcat 实例（一个 JVM 进程）。它是顶级元素。Server包含多个Service。

• Service：一个 Service 包含一个 Connector 和一个 Engine，将它们组合在一起提供服务。

  • Connector (连接器)：负责接收外部请求。最常用的是：

    • HTTP/1.1 Connector：默认监听 8080 端口，处理 HTTP 请求。

    • AJP Connector：监听 8009 端口，使用 AJP 协议与前面的 Web 服务器（如 Apache HTTPD）通信，通常用于集成和负载均衡。

    • 每个 Connector 都会创建一个请求队列，并管理一个线程池来处理连接。

  • Engine (引擎)：是一个请求处理管道，代表整个 Servlet 引擎。它接收来自 Connector 的请求，进行解析后，将其匹配并分发到正确的 Host。

  • Host (虚拟主机)：代表一个虚拟主机，允许在同一 Tomcat 实例上部署多个不同域名的应用（如 app1.com 和 app2.com）。默认的 Host 是 localhost。

  • Context (上下文)：这是最重要的概念之一，一个 Context 对应一个 Web 应用程序（一个 .war 文件或一个包含项目结构的目录）。它配置了应用的路径、资源等。

核心功能模块的别名：

• Catalina：Tomcat 的 Servlet 容器 的实现名称。它包含了上述的 Engine, Host, Context 等组件。当我们说 “Tomcat 作为一个 Servlet 容器” 时，指的就是 Catalina。负责解析Tomcat的配置文件server.xml，以此来创建服务器Server组件并进行管理。

• Coyote：Tomcat 的 HTTP 连接器 的实现名称。它负责以 HTTP 协议与客户端通信。

• Jasper：Tomcat 的 JSP 引擎。它负责将 JSP 文件编译成对应的 Java Servlet 源码（.java），然后再编译成字节码（.class）并加载执行。

• Cluster：提供会话复制和集群功能，用于实现高可用和负载均衡。

1.5 请求处理流程（简化）

浏览器 HTTP 请求 -> Coyote (监听 8080) -> Catalina Engine -> 匹配 Host -> 匹配 Context (/yourApp) -> 根据 web.xml 匹配 Servlet -> 执行您的业务代码 -> 返回响应 -> 浏览器

二、基本操作

2.1 下载与安装

官网下载：https://tomcat.apache.org/

解压即用，无需安装。需要系统有 JDK。

2.2 启动与停止

• Linux/Mac: ./bin/startup.sh 和 ./bin/shutdown.sh

• Windows: bin\startup.bat 和 bin\shutdown.bat

2.3 访问测试

启动后，在浏览器访问 http://localhost:8080，即可看到 Tomcat 的欢迎页面。

2.4 部署应用

• 最简单方式：将打包好的 your-app.war 文件复制到 webapps/ 目录下，Tomcat 会自动解压并部署。应用上下文路径通常是 /your-app（不含 .war 后缀）。

• 修改配置：在 conf/server.xml 中配置 <Context> 元素，或是在 conf/Catalina/localhost/ 下创建独立的 XML 文件来定义应用路径和位置。

三、目录结构与核心配置文件

3.1 目录结构

可以把Tomcat想象成一个预装好的房子：

• bin/ - 大门和电闸：从这里进出（启动/停止）。

• conf/ - 房子的总设计蓝图：决定了房子的结构、规则和配置。

• lib/ - 共享的工具库：所有房间都可以使用的公共工具。

• logs/ - 监控录像和日志：记录房子里发生的一切。

• webapps/ - 一个个房间：你自己装修布置的地方（部署你的Web应用）。

• work/ - 每个房间的装修工作间：存放装修时用的临时材料和图纸（JSP编译文件）。

• temp/ - 公共垃圾桶：存放临时垃圾，会被定期清理。

3.2 核心配置文件

3.2.1 conf/server.xml

server.xml：主配置文件，决定 Tomcat 的整体结构和组件。

Tomcat 的组件是分层嵌套的，理解这个层次关系是看懂 server.xml 的关键。基本结构如下：

Server → Service → Connector(s) & Engine → Host → Context

• Server: 代表整个 Tomcat 实例（一个 JVM 进程），是顶级组件。

• Service: 将一个或多个 Connector 与一个 Engine 绑定在一起，组成一个完整的服务单元。

• Connector: 处理外部客户端的连接和通信（如 HTTP, AJP）。

• Engine: 处理所有来自 Connector 的请求，是请求处理的入口。

• Host: 代表一个虚拟主机，用于将请求映射到特定的 Web 应用（Context）。

• Context: 代表一个独立的 Web 应用程序。

server.xml示例：

<?xml version='1.0' encoding='utf-8'?>
<Server port="8005" shutdown="SHUTDOWN">
    <Listener className="org.apache.catalina.startup.VersionLoggerListener" />
    <Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />
    <Listener className="org.apache.catalina.core.JreMemoryLeakPreventionListener" />
    <Listener className="org.apache.catalina.mbeans.GlobalResourcesLifecycleListener" />
    <Listener className="org.apache.catalina.core.ThreadLocalLeakPreventionListener" />

    <GlobalNamingResources>
        <Resource name="UserDatabase" auth="Container"
                  type="org.apache.catalina.UserDatabase"
                  description="User database that can be updated and saved"
                  factory="org.apache.catalina.users.MemoryUserDatabaseFactory"
                  pathname="conf/tomcat-users.xml" />
    </GlobalNamingResources>

    <Service name="Catalina">
        <!-- ==================== 线程池配置 (可选) ==================== -->
        <Executor name="tomcatThreadPool" 
                  namePrefix="catalina-exec-"
                  maxThreads="200" 
                  minSpareThreads="10"
                  maxQueueSize="100" 
                  prestartminSpareThreads="true"/>

        <!-- ==================== HTTP 连接器 (NIO) ==================== -->
        <Connector executor="tomcatThreadPool"
                   port="8080" 
                   protocol="org.apache.coyote.http11.Http11NioProtocol"
                   connectionTimeout="20000"
                   redirectPort="8443"
                   maxConnections="10000"
                   acceptCount="100"
                   compression="on" 
                   compressionMinSize="1024" 
                   compressableMimeType="text/html,text/xml,text/css,text/javascript,application/json"
                   enableLookups="false" 
                   URIEncoding="UTF-8"
                   server="Unknown" />

        <!-- ==================== AJP 连接器 (通常用于集成前端Web服务器如Apache HTTPD或Nginx) ==================== -->
        <!-- 生产环境中若Tomcat直接对外，或使用Nginx反向代理（通常用HTTP代理而非AJP），可考虑注释或删除AJP连接器 -->
        <!--
        <Connector port="8009" 
                   protocol="AJP/1.3" 
                   redirectPort="8443" 
                   secretRequired="true" 
                   secret="YourStrongAJPSecret" />
        -->

        <!-- ==================== SSL/TLS 连接器 (HTTPS) ==================== -->
        <Connector port="8443" 
                   protocol="org.apache.coyote.http11.Http11NioProtocol"
                   maxThreads="150" 
                   SSLEnabled="true"
                   scheme="https" 
                   secure="true">
            <SSLHostConfig certificateVerification="false" 
                           protocols="TLSv1.2,TLSv1.3">
                <Certificate certificateKeystoreFile="conf/keystore.jks"
                             certificateKeystorePassword="changeit" 
                             type="RSA" />
            </SSLHostConfig>
        </Connector>

        <Engine name="Catalina" defaultHost="localhost">
            <Realm className="org.apache.catalina.realm.LockOutRealm">
                <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
                       resourceName="UserDatabase" />
            </Realm>

            <Host name="localhost"  
                  appBase="webapps"
                  unpackWARs="true" 
                  autoDeploy="false" 
                  deployOnStartup="true" 
                  deployIgnore=".*\.svn/.*">
                <!-- ==================== 访问日志 Valve ==================== -->
                <Valve className="org.apache.catalina.valves.AccessLogValve" 
                       directory="logs"
                       prefix="localhost_access_log" 
                       suffix=".txt"
                       pattern="%h %l %u %t &quot;%r&quot; %s %b %D" 
                       rotatable="true" />
                <!-- ==================== 远程IP Valve (如果你在Tomcat前使用了反向代理，如Nginx) ==================== -->
                <!--
                <Valve className="org.apache.catalina.valves.RemoteIpValve"
                       internalProxies="192\.168\.\d{1,3}\.\d{1,3}|10\.\d{1,3}\.\d{1,3}\.\d{1,3}"
                       remoteIpHeader="x-forwarded-for"
                       proxiesHeader="x-forwarded-by"
                       protocolHeader="x-forwarded-proto" />
                -->
            </Host>
        </Engine>
    </Service>
</Server>

按以上分层讲解标签：

谨慎使用 AJP：AJP 协议通常用于与 Apache HTTPD 等 Web 服务器集成。如果 Tomcat 直接面对互联网，通常不需要也不应该开启 AJP Connector，因为它本身没有加密和强认证机制，存在安全风险。

避免在 server.xml 中配置 <Context>：官方推荐将应用特定的 <Context> 配置放在 $CATALINA_BASE/conf/[enginename]/[hostname]/ 目录下的独立 XML 文件中（例如 myapp.xml）。这样更清晰，且无需重启整个 Tomcat 来应用更改（依赖 autoDeploy）。

3.2.2 conf/web.xml

web.xml：全局部署描述符，为所有 Web 应用提供默认设置

Tomcat 中有 两个 web.xml 文件：

1. 全局 web.xml (在 $CATALINA_HOME/conf/ 目录下): 此文件为部署在该 Tomcat 实例上的所有 Web 应用程序提供默认的公共配置。它对所有应用生效。

2. 应用级 web.xml (在 Web 应用的 WEB-INF/ 目录下): 此文件用于配置单个特定的 Web 应用程序。它的配置会覆盖全局 web.xml 中的同名配置。

web.xml 是 Java Web 应用的部署描述符（Deployment Descriptor），其配置遵循 Servlet 规范。它的核心作用是将 URL 映射到特定的 Servlet、定义初始化参数、配置容器提供的各种服务。

web.xml示例：

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee 
                             http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">

    <!-- 1. 应用基本信息 -->
    <display-name>My-Production-Application</display-name>
    <description>This is the production environment configuration for my application.</description>

    <!-- 2. 全局初始化参数 (例如：设置Spring配置文件和Profile) -->
    <context-param>
        <param-name>contextConfigLocation</param-name>
        <param-value>
            /WEB-INF/spring/root-context.xml
        </param-value>
    </context-param>
    <!-- 强烈建议生产环境明确设置激活的Profile，便于条件化配置 -->
    <context-param>
        <param-name>spring.profiles.active</param-name> 
        <param-value>production</param-value>
    </context-param>

    <!-- 3. 监听器 (例如：Spring的ContextLoaderListener) -->
    <listener>
        <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
    </listener>

    <!-- 4. 过滤器 (Filter) 配置 -->
    <!-- 4.1 字符编码过滤器 (几乎必备) -->
    <filter>
        <filter-name>characterEncodingFilter</filter-name>
        <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
        <init-param>
            <param-name>encoding</param-name>
            <param-value>UTF-8</param-value>
        </init-param>
        <init-param>
            <param-name>forceEncoding</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>characterEncodingFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

    <!-- 4.2 防止XSS攻击的过滤器 (安全增强) -->
    <!-- 注意：你需要引入相应的JAR包（如OWASP ESAPI）或编写自己的XSS过滤逻辑 -->
    <filter>
        <filter-name>xssProtectionFilter</filter-name>
        <filter-class>com.example.security.XSSProtectionFilter</filter-class> 
    </filter>
    <filter-mapping>
        <filter-name>xssProtectionFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

    <!-- 5. Servlet 配置 -->
    <!-- 5.1 Spring MVC 分发器Servlet -->
    <servlet>
        <servlet-name>appServlet</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        <init-param>
            <param-name>contextConfigLocation</param-name>
            <param-value>/WEB-INF/spring/appServlet/servlet-context.xml</param-value>
        </init-param>
        <!-- 生产环境建议设置load-on-startup，保证服务启动时即初始化 -->
        <load-on-startup>1</load-on-startup>
        <!-- 开启异步支持（如需要） -->
        <async-supported>true</async-supported>
    </servlet>
    <servlet-mapping>
        <servlet-name>appServlet</servlet-name>
        <url-pattern>/</url-pattern>
    </servlet-mapping>

    <!-- 6. 会话 (Session) 配置 -->
    <session-config>
        <!-- 会话超时时间（分钟）。生产环境可根据需求设置，例如30分钟 -->
        <session-timeout>30</session-timeout> 
        <!-- Cookie配置 (Servlet 3.0+) - 生产环境应对Cookie进行安全加固 -->
        <cookie-config>
            <http-only>true</http-only> <!-- 防止XSS读取Cookie -->
            <secure>true</secure> <!-- 仅通过HTTPS传输Cookie (生产环境必须开启) -->
            <!-- <name>MY_SESSIONID</name> --> <!-- 可自定义会话Cookie名 -->
            <!-- <domain>yourdomain.com</domain> --> <!-- 设置Cookie域 -->
            <!-- <path>/</path> -->
        </cookie-config>
        <!-- 追踪模式（建议使用URL重写，而不是COOKIE，以增加兼容性，但现代浏览器已很少需要） -->
        <!-- <tracking-mode>COOKIE</tracking-mode> -->
    </session-config>

    <!-- 7. 错误页面配置 (提供友好且信息可控的错误页面) -->
    <error-page>
        <error-code>404</error-code>
        <location>/WEB-INF/views/errors/404.jsp</location>
    </error-page>
    <error-page>
        <error-code>500</error-code>
        <location>/WEB-INF/views/errors/500.jsp</location>
    </error-page>
    <!-- 也可以捕获特定异常 -->
    <!-- <error-page>
        <exception-type>java.lang.Exception</exception-type>
        <location>/WEB-INF/views/errors/general-error.jsp</location>
    </error-page> -->

    <!-- 8. MIME类型映射 (如有非标准文件类型需要服务器识别) -->
    <mime-mapping>
        <extension>json</extension>
        <mime-type>application/json</mime-type>
    </mime-mapping>

    <!-- 9. 欢迎文件列表 -->
    <welcome-file-list>
        <welcome-file>index.jsp</welcome-file>
        <welcome-file>index.html</welcome-file>
    </welcome-file-list>

    <!-- 10. 安全配置 (声明式安全 - 通常在应用服务器中配置更常见，但也可在此定义) -->
    <!-- 注意：以下为示例，具体角色和约束需根据应用调整 -->
    <!--
    <security-constraint>
        <web-resource-collection>
            <web-resource-name>Protected Resources</web-resource-name>
            <url-pattern>/admin/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>admin</role-name>
        </auth-constraint>
    </security-constraint>
    <login-config>
        <auth-method>FORM</auth-method>
        <form-login-config>
            <form-login-page>/login</form-login-page>
            <form-error-page>/login?error</form-error-page>
        </form-login-config>
    </login-config>
    <security-role>
        <role-name>admin</role-name>
    </security-role>
    -->

</web-app>

3.2.3 conf/context.xml

context.xml：全局上下文配置，定义所有 Web 应用共享的资源。一个 Context 代表一个独立的 Web 应用程序。

核心作用：context.xml 主要用于配置与应用本身密切相关的资源、参数和行为，如数据库连接池（JNDI DataSource）、会话（Session）管理、监控阀门（Valves）、初始化参数等。

与全局的 server.xml 不同，context.xml 的配置可以出现在多个位置，且优先级不同（从上到下，优先级递增）：

1. $CATALINA_BASE/conf/context.xml： 此文件中的配置适用于所有部署到该 Tomcat 实例的 Web 应用程序。是全局默认配置。

2. $CATALINA_BASE/conf/[enginename]/[hostname]/context.xml.default： 适用于部署到特定虚拟主机（Host）的所有 Web 应用程序。

3. 应用特定的 XML 文件： 在 $CATALINA_BASE/conf/[enginename]/[hostname]/ 目录下，创建 [appname].xml 文件（例如 myapp.xml）。此文件中的配置仅适用于该特定应用。这是生产环境推荐的方式，因为它与应用解耦，无需修改 server.xml 或全局 context.xml。

4. Web 应用内部的 /META-INF/context.xml： 打包在 WAR 文件或应用目录中。此配置随应用一起发布，适用于该应用本身。

context.xml示例：在 $CATALINA_BASE/conf/Catalina/localhost/ 下创建 myapp.xml，内容如下：

<?xml version="1.0" encoding="UTF-8"?>
<!-- 此配置仅适用于 'myapp' 这个应用 -->
<Context>
    <!-- 1. 禁用开发特性，提升性能 -->
    <WatchedResource>WEB-INF/web.xml</WatchedResource>
    <WatchedResource>WEB-INF/tomcat-web.xml</WatchedResource>
    <WatchedResource>${catalina.base}/conf/web.xml</WatchedResource>
    
    <!-- 2. 配置数据库连接池 (JNDI DataSource) -->
    <Resource name="jdbc/MyAppDS" 
              auth="Container"
              type="javax.sql.DataSource"
              username="prod_db_user"
              password="very_strong_password"
              driverClassName="com.mysql.cj.jdbc.Driver"
              url="jdbc:mysql://dbserver:3306/prod_db?useUnicode=true&amp;characterEncoding=UTF-8&amp;useSSL=true"
              maxTotal="50"
              maxIdle="20"
              minIdle="5"
              maxWaitMillis="10000"
              validationQuery="SELECT 1"
              testOnBorrow="true"
              removeAbandonedOnBorrow="true"
              removeAbandonedTimeout="60" />

    <!-- 3. 配置会话Cookie为Secure和HttpOnly -->
    <SessionConfig>
        <cookie secure="true" httpOnly="true" />
    </SessionConfig>

    <!-- 4. 如果前面有反向代理，配置RemoteIpValve以获取真实客户端IP -->
    <Valve className="org.apache.catalina.valves.RemoteIpValve"
           remoteIpHeader="x-forwarded-for"
           proxiesHeader="x-forwarded-by"
           protocolHeader="x-forwarded-proto" />
</Context>

3.2.4 conf/tomcat-users.xml

tomcat-users.xml：用户、角色和认证信息的配置，用于管理能够访问 Tomcat 管理界面（如 Manager 和 Host Manager）或受保护 Web 应用资源的用户、角色和组（但组不常用）。它核心定义了“谁”（用户）拥有“什么权限”（角色）。

tomcat-users.xml示例：

<?xml version='1.0' encoding='utf-8'?>
<tomcat-users>
    <!-- 定义Tomcat内置的管理角色 -->
    <role rolename="manager-gui"/>
    <role rolename="manager-status"/>
    <role rolename="manager-script"/>
    <role rolename="manager-jmx"/>
    <role rolename="admin-gui"/>
    <role rolename="admin-script"/>

    <!-- 1. 监控专用账户：仅能查看服务器状态，无法进行任何管理操作 -->
    <user username="status_monitor" password="Very$tr0ngP@ssw0rd1" roles="manager-status"/>

    <!-- 2. 自动化部署账户 (供CI/CD工具如Jenkins使用)：允许通过脚本接口部署 -->
    <user username="ci_deploy_user" password="Another$tr0ngP@ssw0rd!" roles="manager-script"/>

    <!-- 3. 管理员账户 (应极少使用且权限分离) -->
    <!-- 3.1 Web应用管理员：能通过GUI界面管理Web应用，但不能管理虚拟主机 -->
    <user username="app_admin" password="Super$ecureP@ss2" roles="manager-gui"/>
    <!-- 3.2 虚拟主机管理员：能管理虚拟主机 -->
    <user username="host_admin" password="HostAdmin@123" roles="admin-gui"/>
    <!-- 3.3 超级管理员 (仅在紧急情况下使用)：拥有所有权限 -->
    <user username="super_admin" password="Extremely!Complex@Pass" roles="manager-gui, manager-script, manager-jmx, manager-status, admin-gui, admin-script"/>
</tomcat-users>