tomcat服务器文件夹拒绝访问，首先检查目录权限和web.xml配置，多数情况是文件系统权限不足或web应用未开启目录浏览导致的。
遇到tomcat里的文件夹点开就报403,或者明明文件放在webapps下却死活访问不到，这事十有八九是权限或配置在捣鬼，别急着重装，下面按从简单到复杂的顺序带你一步步排查。
排查tomcat文件夹拒绝访问的常见原因
tomcat本身是个servlet容器,它对静态文件的访问有一套自己的规则，文件夹拒绝访问通常表现为HTTP 403状态码，这跟404（找不到文件）是两码事，403意味着tomcat找到了资源，但禁止你查看它。
最常见的三个原因如下：
- 文件系统权限太低：tomcat运行用户（比如
tomcat或www-data）没有读取目标文件夹的权限，这在Linux服务器上特别常见，尤其是手动解压部署war包时。 - web.xml没开目录浏览：tomcat默认禁止列出目录内容，如果你直接访问
http://ip:8080/文件夹/而不是具体文件名，就会收到403。 - conf目录下全局配置拦截：
conf/web.xml里的DefaultServlet参数被修改，或者context.xml中设置了antiResourceLocking等特殊属性，也会间接导致拒绝访问。
被安全软（比如安全狗、云锁）拦截、或者目录内存在.htaccess（对tomcat无效但可能误导人）这类情况也不少见，近年来，云服务器厂商默认安全组策略越来越严，偶尔也会出现端口放行但目录访问被无端拦截的现象。
先改文件系统权限，这是最容易踩的坑
以Linux系统为例,进入tomcat安装目录，查看webapps下目标文件夹的权限：
ls -l /usr/local/tomcat/webapps/
如果看到目录权限类似drwxr-xr-x，且owner不是tomcat运行用户，就会出现访问被拒，比如你用root解压了war包，文件夹owner是root，而tomcat进程以tomcat用户运行，那么tomcat根本没有权限读取里面的内容。
执行命令修复：
chown -R tomcat:tomcat /usr/local/tomcat/webapps/你的项目名 chmod -R 755 /usr/local/tomcat/webapps/你的项目名
这里755意思是owner可读写执行，组和其他用户只能读和执行，对tomcat来说，运行用户必须对这个目录有r和x权限，Windows系统则在文件夹右键-属性-安全-编辑里，给tomcat服务账号添加读取和列出目录内容的权限。
实操提示：如果项目中有临时文件需要被写入（比如上传目录），那这个文件夹权限要设为775甚至777，否则上传功能会报错，但静态访问不受影响。
开启目录浏览或直接指定文件路径
如果你需要访问类似http://localhost:8080/myapp/images/这样的路径，tomcat默认是不让你看目录列表的，你需要修改Web应用自身的WEB-INF/web.xml，在<servlet-mapping>之前添加如下配置：
<servlet>
<servlet-name>default</servlet-name>
<servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
<init-param>
<param-name>listings</param-name>
<param-value>true</param-value>
</init-param>
</servlet>
修改后重启tomcat,访问目录就能看到文件列表了，但要注意，生产环境开启目录浏览会暴露文件结构，存在安全隐患，行业共识认为，非必要不开启目录列表，建议直接通过完整路径访问具体文件，比如images/logo.png。
如果你确实需要下载整个目录的文件,比这更安全的做法是通过Web应用压缩打包下载，而不是暴露目录。
检查conf/server.xml和context.xml里的坑
tomcat的全局配置位于conf目录，打开conf/server.xml，找到<Host>标签内的<Context>，看有没有设置docBase或path指向了外部文件夹，如果你把应用放在tomcat的webapps之外，比如/data/projects/myapp，但文件夹权限没给够，同样会出现拒绝访问。
这里有个容易忽略的点：conf/context.xml中的<Context>对全局所有应用生效，如果里面有<Resources cachingAllowed="true" cacheMaxSize="1024" />这类参数，一般不影响权限，但如果你曾经设置过<Valve className="org.apache.catalina.valves.RemoteHostValve" deny="."/>之类的访问控制阀，那任何文件夹都会拒绝访问，必须删除或改成allow。
对照检查：
| 配置文件 | 常见坑点 | 影响 |
|---|---|---|
| conf/web.xml | DefaultServlet的listings参数被设为false | 目录无法浏览 |
| conf/server.xml | Context的docBase指向无权限路径 | 整站403 |
| conf/context.xml |
全局Valve设置禁止了来源IP | 所有请求拒绝 |
| web应用的WEB-INF/web.xml | 自定义servlet映射覆盖了default | 静态资源404或403 |
tomcat拒绝访问和404区别在哪个环节
很多人在排查时分不清403和404,导致方向错误，抓重点：
- 403：tomcat已经找到资源，但根据安全策略不允许你访问，问题出在权限或配置上。
- 404：tomcat在指定路径下根本没找到文件，问题出在部署路径或文件名拼写上。
比如访问/myapp/时，如果myapp目录存在但tomcat没有读取权限，返回403；如果myapp这个文件夹根本不存在，返回404。解决tomcat服务器文件夹拒绝访问问题必须先确认是403还是404，因为两者处理思路完全不同。
这里给你一个快速自检命令,在tomcat所在服务器上执行：
curl -I http://localhost:8080/你的项目名/
看返回的HTTP状态码,如果是403，继续按本文第三、四部分排查权限和配置；如果是404，那要去看war包是否正确解压，或者部署路径是否写错。
地域性运维差异和常见的本地开发场景
如果你用的是本地Windows开发环境,tomcat文件夹拒绝访问往往跟杀毒软件或用户账户控制（UAC）有关，比如你把tomcat装在C:Program Files下，这个路径有特殊的权限保护，tomcat服务可能无法读取文件，建议改到D:tomcat这类非系统目录。
行业内在服务器运维时存在一个不成文的规矩：tomcat安装目录不要放在/root或/home/用户下，否则普通用户无权限访问，如果你租用的服务器地区节点不同，主机商预装的系统安全策略也会有差别，比如国内云主机商默认会开启防火墙和SELinux，这可能导致tomcat的文件夹访问被操作系统层面拦截。
确认SELinux是否拦截tomcat：
getenforce
如果输出Enforcing，执行：
setsebool -P httpd_can_network_connect 1
这个命令允许tomcat（通过httpd模块）访问网络和文件，如果问题依然存在，可以临时关闭SELinux验证：
setenforce 0
注意生产环境不建议长期关闭,临时测试后要恢复。
分场景给出完整修复步骤
新部署的war包解压后拒绝访问
- 确认war包解压出的文件夹owner是不是tomcat运行用户。
- 执行
chown -R tomcat:tomcat和chmod -R 755。 - 清空
work目录缓存后重启tomcat。 - 浏览器强制刷新（Ctrl+F5）再访问。
纯静态文件目录突然被拒绝访问
- 检查最近是否修改过
conf/web.xml中的listings参数。 - 如果改成
false，改回true或直接通过文件名访问。 - 查看tomcat日志
logs/catalina.out，搜索403或Access denied关键字，定位具体是哪个文件和哪个IP被拒绝。
tomcat在Linux根目录下无法访问外部挂载盘
比如/data盘是独立挂载的，tomcat需要访问/data/share文件夹：
mount -o remount,rw /data chmod 755 /data/share
如果挂载时用了noexec选项，也会导致tomcat无法执行目录内的JSP或CGI，这也算拒绝访问的一种。
Q&A：tomcat服务器文件夹拒绝访问怎么解决
问：tomcat服务器文件夹拒绝访问怎么解决才能最快见效？
答：先看日志，登录服务器，执行tail -f logs/catalina.out，然后浏览器再访问一次那个文件夹，日志会直接告诉你拒绝原因，是权限不足、路径错误还是被安全组件拦截，如果是权限问题，一条chmod -R 755命令就能解决，多数情况下，重启tomcat服务也能临时绕开文件句柄锁死的问题。
问：tomcat目录访问权限配置方法里，web.xml和系统文件权限哪个优先级更高？
答：两个层面都过不了就会拒绝，系统文件权限决定了tomcat进程能不能读该目录，web.xml决定了tomcat要不要把目录内容展示给你，前者是底层门槛，后者是应用层开关，你在web.xml里设置了listings为true，但操作系统不让tomcat读目录，照样403，反过来，操作系统有读权限但web.xml没开目录浏览，也是403，两者必须同时满足。
问：tomcat文件夹权限设置工具有没有推荐的？
答：Linux下直接用chmod和chown命令，没有第三方面板的话，这是最稳妥的方式，Windows下可以用icacls工具精细配置，比如icacls D:tomcatwebappsproject /grant TomcatService:(OI)(CI)RX，不建议使用可视化的FTP工具改权限，因为很多工具只改文件owner不改组权限，容易留下隐藏问题。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/692660.html
