1、配置系統管理（Admin Web Application）
大多數商業(yè)化的J2EE服務(wù)器都提供一個(gè)功能強大的管理界面，且大都采用易于理解的Web應用界面。Tomcat按照自己的方式，同樣提供一個(gè)成熟的管理工具，并且絲毫不遜于那些商業(yè)化的競爭對手。Tomcat的Admin Web Application最初在4.1版本時(shí)出現，當時(shí)的功能包括管理context、data source、user和group等。當然也可以管理像初始化參數，user、group、role的多種數據庫管理等。在后續的版本中，這些功能將得到很大的擴展，但現有的功能已經(jīng)非常實(shí)用了。Admin Web Application被定義在自動(dòng)部署文件：CATALINA_BASE/webapps/admin.xml 。（譯者注：CATALINA_BASE即tomcat安裝目錄下的server目錄）
你必須編輯這個(gè)文件，以確定Context中的docBase參數是絕對路徑。也就是說(shuō)，CATALINA
_BASE/webapps/admin.xml的路徑是絕對路徑。作為另外一種選擇，你也可以刪除這個(gè)自動(dòng)部署文件，而在server.xml文件中建立一個(gè)Admin Web Application的context，效果是一樣的。你不能管理Admin Web Application這個(gè)應用，換而言之，除了刪除CATALINA_BASE/webapps/admin.xml ，你可能什么都做不了。
如果你使用UserDatabaseRealm（默認），你將需要添加一個(gè)user以及一個(gè)role到CATALINA_BASE/conf/tomcat-users.xml文件中。你編輯這個(gè)文件，添加一個(gè)名叫“admin”的role 到該文件中，如下：
<role name="admin"/>
同樣需要有一個(gè)用戶(hù)，并且這個(gè)用戶(hù)的角色是“admin”。象存在的用戶(hù)那樣，添加一個(gè)用戶(hù)（改變密碼使其更加安全）：
<ser name="admin"
你完成這些步驟后，請重新啟動(dòng)Tomcat，訪(fǎng)問(wèn)http://localhost:8080/admin，你將看到一個(gè)登錄界面。Admin Web Application采用基于容器管理的安全機制，并采用了Jakarta Struts框架。一旦你作為“admin”角色的用戶(hù)登錄管理界面，你將能夠使用這個(gè)管理界面配置Tomcat。 2、配置應用管理（Manager Web Application） Manager Web Application讓你通過(guò)一個(gè)比Admin Web Application更為簡(jiǎn)單的用戶(hù)界面，執行一些簡(jiǎn)單的Web應用任務(wù)。Manager Web Application被被定義在一個(gè)自動(dòng)部署文件中： CATALINA_BASE/webapps/manager.xml 你必須編輯這個(gè)文件，以確保context的docBase參數是絕對路徑，也就是說(shuō)CATALINA_HOME/server/webapps/manager的絕對路徑。（譯者注：CATALINA_HOME即tomcat安裝目錄） 如果你使用的是UserDatabaseRealm，那么你需要添加一個(gè)角色和一個(gè)用戶(hù)到CATALINA_BASE/conf/tomcat-users.xml文件中。接下來(lái)，編輯這個(gè)文件，添加一個(gè)名為“manager”的角色到該文件中： <role name=”manager”> 同樣需要有一個(gè)角色為“manager”的用戶(hù)。像已經(jīng)存在的用戶(hù)那樣，添加一個(gè)新用戶(hù)（改變密碼使其更加安全）： <user name="manager" 然后重新啟動(dòng)Tomcat，訪(fǎng)問(wèn)http://localhost/manager/list，將看到一個(gè)很樸素的文本型管理界面，或者訪(fǎng)問(wèn)http://localhost/manager/html/list，將看到一個(gè)HMTL的管理界面。不管是哪種方式都說(shuō)明你的Manager Web Application現在已經(jīng)啟動(dòng)了。 Manager application讓你可以在沒(méi)有系統管理特權的基礎上，安裝新的Web應用，以用于測試。如果我們有一個(gè)新的web應用位于/home/user/hello下在，并且想把它安裝到/hello下，為了測試這個(gè)應用，我們可以這么做，在第一個(gè)文件框中輸入“/hello”（作為訪(fǎng)問(wèn)時(shí)的path），在第二個(gè)文本框中輸入“file:/home/user/hello”（作為Config URL）。 Manager application還允許你停止、重新啟動(dòng)、移除以及重新部署一個(gè)web應用。停止一個(gè)應用使其無(wú)法被訪(fǎng)問(wèn)，當有用戶(hù)嘗試訪(fǎng)問(wèn)這個(gè)被停止的應用時(shí)，將看到一個(gè)503的錯誤??“503 - This application is not currently available”。 移除一個(gè)web應用，只是指從Tomcat的運行拷貝中刪除了該應用，如果你重新啟動(dòng)Tomcat，被刪除的應用將再次出現（也就是說(shuō)，移除并不是指從硬盤(pán)上刪除）。 3、部署一個(gè)web應用 有兩個(gè)辦法可以在系統中部署web服務(wù)。 1. 拷貝你的WAR文件或者你的web應用文件夾（包括該web的所有內容）到$CATALINA_BASE/webapps目錄下。 2. 為你的web服務(wù)建立一個(gè)只包括context內容的XML片斷文件，并把該文件放到$CATALINA_BASE/webapps目錄下。這個(gè)web應用本身可以存儲在硬盤(pán)上的任何地方。 如果你有一個(gè)WAR文件，你若想部署它，則只需要把該文件簡(jiǎn)單的拷貝到CATALINA_BASE/webapps目錄下即可，文件必須以“.war”作為擴展名。一旦Tomcat監聽(tīng)到這個(gè)文件，它將（缺省的）解開(kāi)該文件包作為一個(gè)子目錄，并以WAR文件的文件名作為子目錄的名字。 接下來(lái)，Tomcat將在內存中建立一個(gè)context，就好象你在server.xml文件里建立一樣。當然，其他必需的內容，將從server.xml中的DefaultContext獲得。 部署web應用的另一種方式是寫(xiě)一個(gè)Context XML片斷文件，然后把該文件拷貝到CATALINA_BASE/webapps目錄下。一個(gè)Context片斷并非一個(gè)完整的XML文件，而只是一個(gè)context元素，以及對該應用的相應描述。 這種片斷文件就像是從server.xml中切取出來(lái)的context元素一樣，所以這種片斷被命名為“context片斷”。 舉個(gè)例子，如果我們想部署一個(gè)名叫MyWebApp.war的應用，該應用使用realm作為訪(fǎng)問(wèn)控制方式，我們可以使用下面這個(gè)片斷： <!-- 把該片斷命名為“MyWebApp.xml”，然后拷貝到CATALINA_BASE/webapps目錄下。 這種context片斷提供了一種便利的方法來(lái)部署web應用，你不需要編輯server.xml，除非你想改變缺省的部署特性，安裝一個(gè)新的web應用時(shí)不需要重啟動(dòng)Tomcat。 4、配置虛擬主機（Virtual Hosts） 關(guān)于server.xml中“Host”這個(gè)元素，只有在你設置虛擬主機的才需要修改。虛擬主機是一種在一個(gè)web服務(wù)器上服務(wù)多個(gè)域名的機制，對每個(gè)域名而言，都好象獨享了整個(gè)主機。實(shí)際上，大多數的小型商務(wù)網(wǎng)站都是采用虛擬主機實(shí)現的，這主要是因為虛擬主機能直接連接到Internet并提供相應的帶寬，以保障合理的訪(fǎng)問(wèn)響應速度，另外虛擬主機還能提供一個(gè)穩定的固定IP。 基于名字的虛擬主機可以被建立在任何web服務(wù)器上，建立的方法就是通過(guò)在域名服務(wù)器（DNS）上建立IP地址的別名，并且告訴web服務(wù)器把去往不同域名的請求分發(fā)到相應的網(wǎng)頁(yè)目錄。因為這篇文章主要是講Tomcat，我們不準備介紹在各種操作系統上設置DNS的方法，如果你在這方面需要幫助，請參考《DNS and Bind》一書(shū)，作者是Paul Albitz and Cricket Liu (O‘Reilly)。為了示范方便，我將使用一個(gè)靜態(tài)的主機文件，因為這是測試別名最簡(jiǎn)單的方法。 在Tomcat中使用虛擬主機，你需要設置DNS或主機數據。為了測試，為本地IP設置一個(gè)IP別名就足夠了，接下來(lái)，你需要在server.xml中添加幾行內容，如下：
<Server port="8005" Tomcat的server.xml文件，在初始狀態(tài)下，只包括一個(gè)虛擬主機，但是它容易被擴充到支持多個(gè)虛擬主機。在前面的例子中展示的是一個(gè)簡(jiǎn)單的server.xml版本，其中粗體部分就是用于添加一個(gè)虛擬主機。每一個(gè)Host元素必須包括一個(gè)或多個(gè)context元素，所包含的context元素中必須有一個(gè)是默認的context，這個(gè)默認的context的顯示路徑應該為空（例如，path=””）。 5、配置基礎驗證（Basic Authentication） 容器管理驗證方法控制著(zhù)當用戶(hù)訪(fǎng)問(wèn)受保護的web應用資源時(shí)，如何進(jìn)行用戶(hù)的身份鑒別。當一個(gè)web應用使用了Basic Authentication（BASIC參數在web.xml文件中auto-method元素中設置），而有用戶(hù)訪(fǎng)問(wèn)受保護的web應用時(shí)，Tomcat將通過(guò)HTTP Basic Authentication方式，彈出一個(gè)對話(huà)框，要求用戶(hù)輸入用戶(hù)名和密碼。在這種驗證方法中，所有密碼將被以64位的編碼方式在網(wǎng)絡(luò )上傳輸。 注意：使用Basic Authentication通過(guò)被認為是不安全的，因為它沒(méi)有強健的加密方法，除非在客戶(hù)端和服務(wù)器端都使用HTTPS或者其他密碼加密碼方式（比如，在一個(gè)虛擬私人網(wǎng)絡(luò )中）。若沒(méi)有額外的加密方法，網(wǎng)絡(luò )管理員將能夠截獲（或濫用）用戶(hù)的密碼。 但是，如果你是剛開(kāi)始使用Tomcat，或者你想在你的web應用中測試一下基于容器的安全管理，Basic Authentication還是非常易于設置和使用的。只需要添加
下面例子中的web.xml摘自一個(gè)俱樂(lè )部會(huì )員網(wǎng)站系統，該系統中只有member目錄被保護起來(lái)，并使用Basic Authentication進(jìn)行身份驗證。請注意，這種方式將有效的代替Apache web服務(wù)器中的.htaccess文件。 <!-- 6、配置單點(diǎn)登錄（Single Sign-On） 一旦你設置了realm和驗證的方法，你就需要進(jìn)行實(shí)際的用戶(hù)登錄處理。一般說(shuō)來(lái)，對用戶(hù)而言登錄系統是一件很麻煩的事情，你必須盡量減少用戶(hù)登錄驗證的次數。作為缺省的情況，當用戶(hù)第一次請求受保護的資源時(shí)，每一個(gè)web應用都會(huì )要求用戶(hù)登錄。 如果你運行了多個(gè)web應用，并且每個(gè)應用都需要進(jìn)行單獨的用戶(hù)驗證，那這看起來(lái)就有點(diǎn)像你在與你的用戶(hù)搏斗。用戶(hù)們不知道怎樣才能把多個(gè)分離的應用整合成一個(gè)單獨的系統，所有他們也就不知道他們需要訪(fǎng)問(wèn)多少個(gè)不同的應用，只是很迷惑，為什么總要不停的登錄。 Tomcat 4的“single sign-on”特性允許用戶(hù)在訪(fǎng)問(wèn)同一虛擬主機下所有web應用時(shí)，只需登錄一次。為了使用這個(gè)功能，你只需要在Host上添加一個(gè)SingleSignOn Valve元素即可，如下所示： <Valve className= 在Tomcat初始安裝后，server.xml的注釋里面包括SingleSignOn Valve配置的例子，你只需要去掉注釋?zhuān)纯墒褂?。那么，任何用?hù)只要登錄過(guò)一個(gè)應用，則對于同一虛擬主機下的所有應用同樣有效。使用single sign-on valve有一些重要的限制： 1> value必須被配置和嵌套在相同的Host元素里，并且所有需要進(jìn)行單點(diǎn)驗證的web應用（必須通過(guò)context元素定義）都位于該Host下。 2> 包括共享用戶(hù)信息的realm必須被設置在同一級Host中或者嵌套之外。 3> 不能被context中的realm覆蓋。 4> 使用單點(diǎn)登錄的web應用最好使用一個(gè)Tomcat的內置的驗證方式（被定義在web.xml中的
5> 如果你使用單點(diǎn)登錄，還希望集成一個(gè)第三方的web應用到你的網(wǎng)站中來(lái)，并且這個(gè)新的web應用使用它自己的驗證方式，而不使用容器管理安全，那你基本上就沒(méi)招了。你的用戶(hù)每次登錄原來(lái)所有應用時(shí)需要登錄一次，并且在請求新的第三方應用時(shí)還得再登錄一次。 當然，如果你擁有這個(gè)第三方web應用的源碼，而你又是一個(gè)程序員，你可以修改它，但那恐怕也不容易做。 6> 單點(diǎn)登錄需要使用cookies。 7、配置用戶(hù)定制目錄（Customized User Directores） 一些站點(diǎn)允許個(gè)別用戶(hù)在服務(wù)器上發(fā)布網(wǎng)頁(yè)。例如，一所大學(xué)的學(xué)院可能想給每一位學(xué)生一個(gè)公共區域，或者是一個(gè)ISP希望給一些web空間給他的客戶(hù)，但這又不是虛擬主機。在這種情況下，一個(gè)典型的方法就是在用戶(hù)名前面加一個(gè)特殊字符（~），作為每位用戶(hù)的網(wǎng)站，比如： http://www.cs.myuniversity.edu/~username Tomcat提供兩種方法在主機上映射這些個(gè)人網(wǎng)站，主要使用一對特殊的Listener元素。Listener的className屬性應該是org.apache.catalina.startup.UserConfig，userClass屬性應該是幾個(gè)映射類(lèi)之一。 如果你的系統是Unix，它將有一個(gè)標準的/etc/passwd文件，該文件中的賬號能夠被運行中的Tomcat很容易的讀取，該文件指定了用戶(hù)的主目錄，使用PasswdUserDatabase 映射類(lèi)。 <Listener className= web文件需要放置在像/home/users/ian/public_html或者/users/jbrittain/public_html一樣的目錄下面。當然你也可以改變public_html 到其他任何子目錄下。 實(shí)際上，這個(gè)用戶(hù)目錄根本不一定需要位于用戶(hù)主目錄下里面。如果你沒(méi)有一個(gè)密碼文件，但你又想把一個(gè)用戶(hù)名映射到公共的像/home一樣目錄的子目錄里面，則可以使用HomesUserDatabase類(lèi)。 <Listener className= 這樣一來(lái)，web文件就可以位于像/home/ian/public_html或者/home/jasonb/public_html一樣的目錄下。這種形式對Windows而言更加有利，你可以使用一個(gè)像c:\home這樣的目錄。 這些Listener元素，如果出現，則必須在Host元素里面，而不能在context元素里面，因為它們都用應用于Host本身。 8、在Tomcat中使用CGI腳本 Tomcat主要是作為Servlet/JSP容器，但它也有許多傳統web服務(wù)器的性能。支持通用網(wǎng)關(guān)接口（Common Gateway Interface，即CGI）就是其中之一，CGI提供一組方法在響應瀏覽器請求時(shí)運行一些擴展程序。 CGI之所以被稱(chēng)為通用，是因為它能在大多數程序或腳本中被調用，包括：Perl，Python，awk，Unix shell scripting等，甚至包括Java。 當然，你大概不會(huì )把一個(gè)Java應用程序當作CGI來(lái)運行，畢竟這樣太過(guò)原始。一般而言，開(kāi)發(fā)Servlet總要比CGI具有更好的效率，因為當用戶(hù)點(diǎn)擊一個(gè)鏈接或一個(gè)按鈕時(shí)，你不需要從操作系統層開(kāi)始進(jìn)行處理。 Tomcat包括一個(gè)可選的CGI Servlet，允許你運行遺留下來(lái)的CGI腳本。 為了使Tomcat能夠運行CGI，你必須做如下幾件事： 1. 把servlets-cgi.renametojar （在CATALINA_HOME/server/lib/目錄下）改名為servlets-cgi.jar。處理CGI的servlet應該位于Tomcat的CLASSPATH下。 2. 在Tomcat的CATALINA_BASE/conf/web.xml 文件中，把關(guān)于
3. 同樣，在Tomcat的CATALINA_BASE/conf/web.xml文件中，把關(guān)于對CGI進(jìn)行映射的那段的注釋去掉（默認情況下，該段位于第299行）。注意，這段內容指定了HTML鏈接到CGI腳本的訪(fǎng)問(wèn)方式。 4. 你可以把CGI腳本放置在WEB-INF/cgi 目錄下（注意，WEB-INF是一個(gè)安全的地方，你可以把一些不想被用戶(hù)看見(jiàn)或基于安全考慮不想暴露的文件放在此處），或者你也可以把CGI腳本放置在context下的其他目錄下，并為CGI Servlet調整cgiPathPrefix初始化參數。這就指定的CGI Servlet的實(shí)際位置，且不能與上一步指定的URL重名。 5. 重新啟動(dòng)Tomcat，你的CGI就可以運行了。 在Tomcat中，CGI程序缺省放置在WEB-INF/cgi目錄下，正如前面所提示的那樣，WEB-INF目錄受保護的，通過(guò)客戶(hù)端的瀏覽器無(wú)法窺探到其中內容，所以對于放置含有密碼或其他敏感信息的CGI腳本而言，這是一個(gè)非常好的地方。 為了兼容其他服務(wù)器，盡管你也可以把CGI腳本保存在傳統的/cgi-bin目錄，但要知道，在這些目錄中的文件有可能被網(wǎng)上好奇的沖浪者看到。另外，在Unix中，請確定運行Tomcat的用戶(hù)有執行CGI腳本的權限。 9、改變Tomcat中的JSP編譯器（JSP Compiler） 在Tomcat 4.1（或更高版本，大概），JSP的編譯由包含在Tomcat里面的Ant程序控制器直接執行。這聽(tīng)起來(lái)有一點(diǎn)點(diǎn)奇怪，但這正是Ant有意為之的一部分，有一個(gè)API文檔指導開(kāi)發(fā)者在沒(méi)有啟動(dòng)一個(gè)新的JVM的情況下，使用Ant。 這是使用Ant進(jìn)行Java開(kāi)發(fā)的一大優(yōu)勢。另外，這也意味著(zhù)你現在能夠在A(yíng)nt中使用任何javac支持的編譯方式，這里有一個(gè)關(guān)于A(yíng)pache Ant使用手冊的javac page列表。 使用起來(lái)是容易的，因為你只需要在
<servlet> 當然，給出的編譯器必須已經(jīng)安裝在你的系統中，并且CLASSPATH可能需要設置，那處決于你選擇的是何種編譯器。 10、限制特定主機訪(fǎng)問(wèn)（Restricting Access to Specific Hosts） 有時(shí)，你可能想限制對Tomcat web應用的訪(fǎng)問(wèn)，比如，你希望只有你指定的主機或IP地址可以訪(fǎng)問(wèn)你的應用。這樣一來(lái)，就只有那些指定的的客戶(hù)端可以訪(fǎng)問(wèn)服務(wù)的內容了。為了實(shí)現這種效果，Tomcat提供了兩個(gè)參數供你配置：RemoteHostValve 和RemoteAddrValve。 通過(guò)配置這兩個(gè)參數，可以讓你過(guò)濾來(lái)自請求的主機或IP地址，并允許或拒絕哪些主機/IP。與之類(lèi)似的，在A(yíng)pache的httpd文件里有對每個(gè)目錄的允許/拒絕指定。例如你可以把Admin Web application設置成只允許本地訪(fǎng)問(wèn)，設置如下： <Context path= 如果沒(méi)有給出允許主機的指定，那么與拒絕主機匹配的主機就會(huì )被拒絕，除此之外的都是允許的。與之類(lèi)似，如果沒(méi)有給出拒絕主機的指定，那么與允許主機匹配的主機就會(huì )被允許，除此之外的都是拒絕的。
password="deep_dark_secret"
roles="admin"/>
password="deep_dark_secret"
roles="manager"/>
Context fragment for deploying MyWebApp.war
-->
<Context path="/demo"
docBase="webapps/MyWebApp.war"
debug="0" privileged="true">
<Realm className=
"org.apache.catalina.realm.UserDatabaseRealm"
resourceName="UserDatabase"/>
</Context>
shutdown="SHUTDOWN" debug="0">
<Service name="Tomcat-Standalone">
<Connector className=
"org.apache.coyote.tomcat4.CoyoteConnector"
port="8080"
minProcessors="5" maxProcessors="75"
enableLookups="true"
redirectPort="8443"/>
<Connector className=
"org.apache.coyote.tomcat4.CoyoteConnector"
port="8443" minProcessors="5"
maxProcessors="75"
acceptCount="10" debug="0"
scheme="https" secure="true"/>
<Factory className="org.apache.coyote.
tomcat4.CoyoteServerSocketFactory"
clientAuth="false" protocol="TLS" />
</Connector>
<Engine name="Standalone"
defaultHost="localhost" debug="0">
<!-- This Host is the default Host -->
<Host name="localhost"
debug="0" appBase="webapps"
unpackWARs="true" autoDeploy="true">
<Context path="" docBase="ROOT" debug="0"/>
<Context path="/orders"
docBase="/home/ian/orders" debug="0"
reloadable="true" crossContext="true">
</Context>
</Host>
<!-- This Host is the first
"Virtual Host": http://www.example.com/ -->
<Host name="www.example.com"
appBase="/home/example/webapp">
<Context path="" docBase="."/>
</Host>
</Engine>
</Service>
</Server>
Define the
Members-only area,
by defining
a "Security Constraint"
on this Application, and
mapping it to the
subdirectory (URL) that we want
to restrict.
-->
<security-constraint>
<web-resource-collection>
<web-resource-name>
Entire Application
</web-resource-name>
<url-pattern>/members/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>member</role-name>
</auth-constraint>
</security-constraint>
<!-- Define the Login
Configuration for
this Application -->
<login-config>
<auth-method>BASIC</auth-method>
<realm-name>My Club
Members-only Area</realm-name>
</login-config>
"org.apache.catalina.
authenticator.SingleSignOn"
debug="0"/>
http://members.mybigisp.com/~username
"org.apache.catalina.startup.UserConfig"
directoryName="public_html"
userClass="org.apache.catalina.
startup.PasswdUserDatabase"/>
"org.apache.catalina.startup.UserConfig"
directoryName="public_html"
homeBase="/home"
userClass="org.apache.catalina.
startup.HomesUserDatabase"/>
<servlet-name＞jsp</servlet-name>
<servlet-class>
org.apache.jasper.servlet.JspServlet
</servlet-class>
<init-param>
<param-name>logVerbosityLevel
</param-name>
<param-value>WARNING</param-value>
</init-param>
<init-param>
<param-name>compiler</param-name>
<param-value>jikes</param-value>
</init-param>
<load-on-startup>3</load-on-startup>
</servlet>
"/path/to/secret_files" ...>
<Valve className="org.apache.
catalina.valves.RemoteAddrValve"
allow="127.0.0.1" deny=""/>
</Context>
聯(lián)系客服
