Tomcat 10与IIS 10基于匿名认证配置ISAPI重定向器失败求助

我之前在配置IIS+Tomcat的ISAPI重定向时也踩过类似的坑，给你整理一套一步步排查的思路，应该能帮你定位到问题：

一、先把IIS侧的匿名认证配置捋清楚 #

• 确保站点的匿名认证是启用状态，同时检查匿名用户的身份：默认是IUSR，但如果你的Tomcat应用需要访问特定目录（比如webapps下的文件），得保证这个账户有对应的读取/执行权限——实在不行可以先换成本地系统账户测试，排除权限问题。
• 暂时禁用Windows Authentication这类其他认证方式，只保留匿名认证。多个认证方式共存时，IIS的认证优先级可能会打乱重定向逻辑，先简化配置再测试。
• 检查站点的URL重写规则和授权规则：有没有针对*.jsp路径设置了拒绝匿名访问的规则？特别是如果之前配置过Windows Auth的规则，要确保已经清理干净。

二、验证Tomcat侧的匿名访问配置 #

• 打开Tomcat的conf/web.xml，找到org.apache.catalina.authenticator.AnonymousAuthenticator这个Valve，确保它没有被注释掉——这个是Tomcat处理匿名访问的核心组件。
• 检查你的Jakarta应用（也就是部署的webapp）的WEB-INF/web.xml，看看有没有<security-constraint>配置块，是不是不小心限制了*.jsp路径的匿名访问。
• 再核对下server.xml里的AJP连接器：确保<Connector>的address是0.0.0.0（允许所有IP访问），而且没有加requireAuth="true"这类强制认证的参数——这个参数会要求Tomcat对所有请求做认证，直接阻断匿名访问。

三、再检查ISAPI Filter和模块的细节 #

• 回到IIS的“ISAPI和CGI限制”界面，找到你的Tomcat ISAPI模块（一般是isapi_redirect.dll），确认状态是允许，而且路径完全正确（要指向Tomcat安装目录下的bin文件夹，不能是快捷方式或者错误路径）。
• 打开Tomcatconf目录下的workers.properties，检查worker配置：worker.list要包含你的worker名称，对应的worker节点比如worker.jk.type=ajp13，端口要和Tomcat AJP连接器的端口（默认8009）一致，而且不要加任何认证相关的配置项。
• 确认jakarta虚拟目录的权限：这个虚拟目录的物理路径要指向Tomcat的bin目录，同时要开启匿名访问，权限设置要允许匿名用户读取和执行该目录下的文件。

四、靠日志定位问题（最有效的一步） #

• 开启IIS的失败请求跟踪：针对*.jsp路径创建跟踪规则，捕捉匿名访问时的请求流程。通过跟踪日志，你能看到请求在IIS的哪个环节出了问题——是认证模块返回了401，还是ISAPI Filter没有正确转发请求。
• 开启Tomcat的AJP连接器日志：在server.xml的<Connector>标签里加上logLevel="debug"，这样Tomcat会详细记录AJP请求的细节，你能看到IIS有没有把匿名请求转发过来，以及Tomcat对这个请求的处理过程。
• 查看Windows的事件查看器：去“Windows日志->应用程序”里找有没有ISAPI模块相关的错误，比如isapi_redirect.dll加载失败、权限不足这类信息，这些往往是隐性的问题。

五、一些容易忽略的小细节 #

• 检查防火墙：确保Tomcat的AJP端口（默认8009）没有被服务器防火墙拦截，IIS服务器能正常访问这个端口——可以用telnet localhost 8009测试连通性。
• 用隐私模式测试：浏览器的认证缓存可能会残留之前的Windows Auth信息，导致测试不准确，用无痕模式打开浏览器再访问.jsp页面。
• 先测静态文件：先确认IIS站点下的静态HTML文件能正常匿名访问，排除IIS本身匿名认证的问题，再聚焦到.jsp的重定向。

内容的提问来源于stack exchange，提问作者Omar S