如何配置仅允许从localhost访问Tomcat Manager应用？

当然可以，通过Tomcat的内置组件和权限配置就能实现这个需求，具体操作如下：

1. 限制访问的IP地址 #

修改（或新建）Tomcat的Manager应用上下文配置文件 conf/Catalina/localhost/manager.xml，添加IP过滤阀（RemoteAddrValve）：

<Context privileged="true" antiResourceLocking="false"
         docBase="${catalina.home}/webapps/manager">
    <!-- 仅允许localhost的IPv4和IPv6地址访问 -->
    <Valve className="org.apache.catalina.valves.RemoteAddrValve"
           allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1" />
</Context>

这个配置会直接拦截非localhost的IP请求，返回403禁止访问。

2. 配置用户权限（可选但推荐） #

为了进一步确保安全，修改 conf/tomcat-users.xml，给授权用户分配Manager相关的权限，同时结合上面的IP限制，只有localhost能使用这些权限：

<!-- 示例用户，替换成你的用户名和密码 -->
<user username="local-admin" password="your-secure-password" roles="manager-gui,manager-script" />

• manager-gui：允许通过网页端访问Manager并进行部署操作
• manager-script：允许通过命令行工具（比如Maven、Ant）进行部署

3. 验证配置 #

重启Tomcat后，尝试从外部IP访问Manager页面（比如http://你的服务器IP:8080/manager/html），应该会得到403错误；而在localhost环境下访问则能正常进入并操作。

如果需要临时放开某个外部IP，只需在allow属性里添加对应的IP正则，用竖线分隔，比如：

allow="192\.168\.1\.100|127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1"

内容的提问来源于stack exchange，提问作者ulrich