打开浏览器输入 tomcat.apache.org，官网这个页面我至少访问过五十次。下载不是官网每次都要下载，有时候只是下载去查某个版本的文档，或者确认一下最新的官网稳定版是 9.0.x 还是 10.1.x。但下载确实是下载大多数人来到这个页面的第一目的。

页面左侧有一列导航，官网找到 "Download" 区域，下载里面分了好几个版本分支。官网Tomcat 9、下载Tomcat 10、官网Tomcat 11，下载每个大版本下面又标注了最新的官网小版本号，比如 9.0.98、下载10.1.34 这种。官网别小看这个数字，不同小版本之间可能修了安全漏洞，也可能改了某个默认配置的行为。我吃过亏——有次线上环境跑的是 9.0.45，后来升级到 9.0.50，结果一个 JSP 页面的编码突然出了问题，排查半天才发现是某个默认参数变了。

该选哪个版本

如果你维护的是老项目，用的是 javax.servlet 那套 API，直接选 Tomcat 9。Tomcat 10 开始把包名从 javax.* 换成了 jakarta.*，所有 import 语句都得改，不是换个 Tomcat 就能跑的事。Tomcat 11 要求 Java 17 以上，目前生产环境用得还不算多。我的建议很直接：新项目用 Tomcat 10.1.x，老项目留在 9.0.x，别折腾。

选好版本点进去，会看到一个 "Quick Navigation" 区域。Binary Distributions 下面是实际要下载的文件。Windows 用户找 zip 或 32/64-bit Windows zip，Linux 用户找 tar.gz。注意看下面的 "Core" 和 "Full Documentation" 的区别——Core 就是 Tomcat 本身，Documentation 是文档包，一般不需要下。

下载完别急着双击

Windows 的 zip 包解压到任意目录就行，不需要安装程序。解压后你会看到 bin、conf、lib、logs、temp、webapps、work 这几个文件夹。bin 目录里有 startup.bat 和 shutdown.bat，双击 startup.bat 就能启动。但有个前提：JAVA_HOME 或 JRE_HOME 环境变量得配好。我见过太多人卡在这一步，命令行窗口一闪就没了，其实就是找不到 Java。

Linux 下更简单，tar -xzf 解压，然后进 bin 目录执行 ./startup.sh。但要注意权限问题，sh 文件需要有执行权限，chmod +x *.sh 先跑一遍。另外 Linux 下通常不会用默认的 8080 端口跑生产，conf/server.xml 里改 Connector 的 port 属性，改成 80 或者别的。改完记得把 8005 那个 shutdown 端口也改掉，不然两个 Tomcat 实例会冲突。

关于验证这件事

Apache 官网提供 GPG 签名和 SHA512 校验值。说实话，大部分人不会去验证。但如果你是在企业环境里部署，尤其是金融、政务相关的项目，下载完做一次校验不算多余。校验命令不复杂，sha512sum 加上文件名，对比官网给出的值就行。花不了一分钟。

还有个细节：官网的下载链接有时候会跳到 mirrors 列表，让你选一个镜像站。国内访问 apache 主站速度一般，选个国内的镜像会快很多。清华 TUNA 和阿里云的镜像都挺稳定。如果 mirrors 页面加载慢，直接手动把下载链接里的域名替换成 mirrors.tuna.tsinghua.edu.cn 也行。

下载这件事本身没什么技术含量，但选错版本、配错环境、忘了改端口，每一个都能让人折腾半天。Tomcat 就是这样一个东西——用起来简单，出问题的时候又特别琐碎。