tomcat管理员账号密码

Tomcat的管理管理员账号密码，默认就写在conf/tomcat-users.xml这个文件里。员账打开它，号密你会看到类似这样的管理注释和示例：

<role rolename="manager-gui"/> <user username="tomcat" password="s3cret" roles="manager-gui"/> 

但别高兴太早——生产环境里没人会用这个默认值。如果你用的员账是Linux系统，还装的号密是发行版自带的Tomcat（比如Ubuntu的tomcat9包），那文件位置可能变成/etc/tomcat9/tomcat-users.xml，管理而且初始状态连用户都没有，员账只有一堆注释模板。号密

真正让人头疼的管理是权限分配。Tomcat的员账manager应用分了四种角色：manager-gui（网页管理）、manager-script（命令行脚本）、号密manager-jmx（JMX监控）、管理manager-status（只看服务器状态）。员账很多人图省事，号密直接给管理员配了所有角色，结果安全审计时被骂得狗血淋头。我见过某公司运维把manager-gui和manager-script同时给了一个账号，后来那个账号被爆破，脚本接口成了攻击者部署WebShell的后门。

配置密码也有讲究。Tomcat 8.5之后默认用UserDatabase内存认证，但你可以改用JDBC或LDAP。如果你只是单机测试，直接在tomcat-users.xml里写明文密码倒是能跑，但一旦暴露到外网，分分钟被扫描器撞库。建议至少用DigestUtils生成SHA-256哈希，或者干脆配成BCrypt——不过Tomcat原生不支持BCrypt，得自己写Realm实现，很多人嫌麻烦就放弃了。

实际部署中还有个坑：改了tomcat-users.xml后，必须重启Tomcat才能生效。不像改个JSP能热加载。我曾在凌晨两点改完密码忘了重启，结果第二天业务报错，排查半天才发现是旧会话还在用内存里的老凭据。另外，如果你的Tomcat跑在Docker容器里，记得把配置文件挂载出来，否则容器一重建，密码又回到初始状态。

最后说个冷门但实用的细节：Tomcat的manager页面默认只允许本机IP访问。你要是想远程管理，还得去改webapps/manager/META-INF/context.xml里的Valve标签，把127.0.0.1换成你的公网IP。但真这么干的人，要么是内网环境，要么是嫌麻烦图省事——反正我见过被扫描器打成筛子的，都是这么暴露的。

账号密码这事，本质上是个权衡。你图方便，它就给你颜色看。老老实实按角色最小化分配，密码用随机生成器跑一趟，别用admin/123456这种组合，基本就够用了。要是还担心，那就上密钥登录，直接禁用密码认证——不过Tomcat原生不支持，得靠前端反向代理层搞定。你看着办吧。