tomcat在linux上是解压即用的二进制包，关键在于环境对齐（jdk版本与java_home）、权限隔离（专用tomcat用户及目录权限）和端口适配（address="0.0.0.0"、端口冲突检查及防火墙开放），三者任一出错均导致服务不可用。
Tomcat 在 Linux 上不是“装”出来的，而是解压即用的二进制包。真正要花力气的是环境对齐、权限隔离和端口适配——这三个环节出错，startup.sh 跑起来也白跑。
确认 JDK 版本和 JAVA_HOME 是否可用
Tomcat 启动失败，80% 是因为 JAVA_HOME 没设对，或者 JDK 版本不匹配。
先检查是否已安装 JDK：
java -version
输出里必须含类似11.0.x或17.0.x，不能是1.8.0_（除非你明确要用 Tomcat 9）查看系统中 JDK 的真实路径：
sudo update-java-alternatives -l
或直接搜：find /usr/lib/jvm -name "jdk-11*" -type d 2>/dev/null-
不要改
/etc/profile全局设JAVA_HOME—— 容易污染其他服务。正确做法是：- 进入
/opt/tomcat/bin - 创建
setenv.sh（若不存在） - 写入：
export JAVA_HOME=/usr/lib/jvm/java-17-openjdk-amd64
（路径以你find出来的为准，注意别漏掉末尾的amd64或aarch64）
- 进入
验证：执行
./catalina.sh version，输出里应有 JDK 版本和Server version: Apache Tomcat/行
解压后必须创建专用用户并重设目录权限
用 root 直接跑 startup.sh，短期能通，上线后就是定时炸弹。
创建无登录权限的用户：
sudo useradd -r -m -U -d /opt/tomcat -s /bin/false tomcat把整个
/opt/tomcat所有权交给它：sudo chown -R tomcat: /opt/tomcat仅放开必要权限：
sudo chmod +x /opt/tomcat/bin/*.shsudo chmod -R g+r confsudo chmod g+x conf后续所有操作切到该用户下：
sudo -u tomcat -s
然后再执行./startup.sh
不这么做，logs/catalina.out 会因权限不足写不进日志，webapps 解压 WAR 包也会失败，错误信息却只显示 “SEVERE: Error starting static Resources”，根本看不出是权限问题。
修改 server.xml 前先确认监听地址和端口冲突
默认 port="8080" 和 address="localhost" 只能本机访问，外网连不上不是防火墙没开，而是它压根没监听 0.0.0.0。
-
编辑
/opt/tomcat/conf/server.xml
找到这一行：<connector port="8080" protocol="HTTP/1.1"></connector>
改成：<connector port="8080" protocol="HTTP/1.1" address="0.0.0.0"></connector>
检查端口是否被占用：
ss -tuln | grep ':8080'
如果已有进程占着，要么杀掉它，要么改 Tomcat 端口（比如改成8081）生产环境务必改掉默认管理路径：
注释或删掉conf/tomcat-users.xml里带manager-gui和host-manager的role和user，否则等于把后台入口裸奔在公网。
startup.sh 成功不等于服务就绪
看到 Using CATALINA_BASE 就以为完事？真正的验证点在三处：
查看进程是否真由
tomcat用户启动：ps -ef | grep tomcat | grep -v grep
UID 列必须是tomcat，不是root检查日志有没有致命报错：
tail -20 /opt/tomcat/logs/catalina.out
关键词：SEVERE→ 必须处理Caused by: java.lang.ClassNotFoundException: javax.servlet.→ JDK/Tomcat 版本错配（老项目用了 Tomcat 10+）Permission denied: /opt/tomcat/webapps/ROOT→ 权限没设对外网访问测试不要只 curl localhost：
从另一台机器执行：curl -v http://:8080
如果卡住或返回空，优先查address="0.0.0.0"是否写了，再查云服务商安全组是否放行该端口
最常被忽略的是：Tomcat 启动脚本本身不校验 JAVA_HOME 是否真的可执行，它只会静默 fallback 到系统 PATH 里的 java —— 而这个 java 很可能版本不对，或者只是 JRE 没有 tools.jar。所以一定要用 catalina.sh version 实锤。
