Tomcat 7部署WAR文件提示Permission Denied求助

根据你描述的细节——常规Unix权限正常、手动解压/Manager上传可正常部署、仅scp传输的该WAR文件报错，甚至root重新打包后正常但再次scp又失效——这个问题几乎可以锁定是**文件扩展属性（尤其是SELinux上下文）**导致的，而非传统的读/写权限。

核心原因分析 #

1. SELinux上下文不匹配：多数企业级Linux发行版（如CentOS、RHEL）默认开启SELinux，它会基于文件的安全上下文控制进程访问权限。通过scp传输的文件会保留原系统的SELinux上下文，而Tomcat进程需要webapps目录下的文件拥有tomcat_var_lib_t类型的上下文，否则即使Unix权限正确，SELinux也会阻止Tomcat的JVM读取WAR文件。
2. 特殊扩展属性残留：scp（尤其是新版默认使用的SFTP协议）会保留原文件的扩展属性，若原系统的WAR文件带有特殊xattr属性，可能导致JVM无法正常读取Zip/Jar格式的WAR文件。

解决方案步骤 #

1. 检查并修复SELinux上下文 #

首先确认SELinux是否处于启用状态：

getenforce

如果输出为Enforcing，执行以下命令修复webapps目录的SELinux上下文：

# 递归修复webapps目录下所有文件的SELinux上下文
restorecon -Rv /var/lib/tomcat/webapps/

或者仅针对myapp.war文件：

restorecon -v /var/lib/tomcat/webapps/myapp.war

修复后，查看文件的SELinux上下文是否正确：

ls -Z /var/lib/tomcat/webapps/myapp.war

正常输出应包含system_u:object_r:tomcat_var_lib_t:s0，而非原系统的上下文标签。

2. 清除异常扩展属性 #

如果修复SELinux后仍有问题，检查文件的扩展属性：

getfattr -d /var/lib/tomcat/webapps/myapp.war

若看到除security.selinux外的特殊属性，可逐个清除：

# 替换<属性名>为实际要清除的属性，例如user.xattr_example
setfattr -x <属性名> /var/lib/tomcat/webapps/myapp.war

或者直接清除SELinux属性（仅在确认SELinux不是必须时使用）：

setfattr -h -x security.selinux /var/lib/tomcat/webapps/myapp.war

3. 优化scp传输方式 #

为避免后续scp传输时带入异常属性，使用-O参数强制使用传统scp协议（不保留扩展属性和SELinux上下文）：

scp -O /本地路径/myapp.war 用户名@目标服务器:/var/lib/tomcat/webapps/

4. 触发Tomcat重新部署 #

完成上述操作后，可通过以下方式让Tomcat重新加载应用：

• 删除Tomcat work目录下对应应用的缓存文件夹：rm -rf /var/lib/tomcat/work/Catalina/localhost/myapp
• 触摸web.xml文件触发重新部署：touch /var/lib/tomcat/webapps/myapp/WEB-INF/web.xml（若已解压）
• 直接重启Tomcat服务：systemctl restart tomcat

为什么手动解压/Manager上传正常？ #

• 手动解压生成的文件会自动继承webapps目录的SELinux上下文，符合Tomcat的访问要求；
• Tomcat Manager上传的文件是通过Tomcat进程直接写入的，会自动设置正确的安全上下文；
• root重新打包时，新生成的WAR文件会使用当前系统的默认SELinux上下文，因此可以正常部署，但再次scp传输时又带回了原系统的异常属性，导致问题复发。

内容的提问来源于stack exchange，提问作者MrE