Tomcat配置tomcat-users.xml账号后认证失败无法访问如何解决

启动Tomcat服务后，弹出Authentication Required身份验证弹窗，输入tomcat-users.xml配置文件中自行创建的账号凭证始终无法通过验证，无法正常访问服务。
当前使用的tomcat-users.xml配置内容：

• 第一步：校验角色配置是否匹配访问路径的权限要求
  这是最高发的错误原因。不同Tomcat版本、不同默认管理路径（比如/manager/html、/host-manager/html）要求的内置角色不同，很多人会误写角色名为manager，这个角色在Tomcat 7及以后版本中不具备管理控制台访问权限，必须配置对应内置角色。

  以Tomcat 9/10/11版本为例，访问默认管理控制台必须给账号绑定对应角色：

  • manager-gui：允许访问HTML格式的应用管理控制台
  • admin-gui：允许访问HTML格式的主机管理控制台
    正确的配置示例：

  <tomcat-users xmlns="http://tomcat.apache.org/xml"
                xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                xsi:schemaLocation="http://tomcat.apache.org/xml tomcat-users.xsd"
                version="1.0">
    <!-- 声明需要使用的内置角色 -->
    <role rolename="manager-gui"/>
    <role rolename="admin-gui"/>
    <!-- 为用户分配角色，多个角色用英文逗号分隔 -->
    <user username="你的自定义账号" password="你的自定义密码" roles="manager-gui,admin-gui"/>
  </tomcat-users>
  

  额外注意：tomcat-users.xml必须符合XML语法规范，不要把注释写在标签内部，不要漏写闭合标签，语法错误会导致整个配置文件加载失败，所有配置的账号都不生效。
• 第二步：确认配置修改后完全重启Tomcat
  tomcat-users.xml仅在Tomcat启动阶段加载一次，修改配置后必须完全停止Tomcat进程，确认进程退出后再重新启动，热部署、控制台reload操作都不会重新读取这个文件的配置。Windows环境不要只关闭运行窗口，要通过服务管理器或者shutdown.bat脚本关闭；Linux环境执行shutdown.sh后可以通过ps -ef | grep tomcat确认进程完全退出。
• 第三步：检查是否存在认证配置覆盖
  打开Tomcat目录下conf/Catalina/localhost/路径，查看对应管理应用的配置文件（比如manager.xml、host-manager.xml），如果文件中配置了独立的Realm节点（比如JDBC认证、JNDI数据源认证），会直接覆盖tomcat-users.xml的内存用户配置。同时检查conf/server.xml中的全局Realm配置，如果默认的UserDatabaseRealm被替换为其他认证实现，tomcat-users.xml里配置的账号也不会生效。
• 第四步：校验配置文件路径与读取权限
  确认你修改的是当前运行的Tomcat实例对应的conf/tomcat-users.xml，不要修改到其他Tomcat实例、备份目录下的同名文件。同时确认运行Tomcat的系统用户对该配置文件有读取权限：Linux环境可执行chmod 644 conf/tomcat-users.xml赋予读权限，Windows环境检查文件属性中是否设置了禁止读取的权限规则。权限不足会导致Tomcat启动时无法读取配置，账号自然无法生效。
• 第五步：通过日志定位具体错误
  如果以上步骤都排查完还是有问题，直接查看Tomcat日志：Linux环境看logs/catalina.out，Windows环境看logs/catalina.对应日期.log，搜索启动阶段的报错信息，XML解析失败、Realm初始化错误、配置文件找不到这类问题都会在日志里打印明确的堆栈信息，根据报错对应修复即可。

内容的提问来源于stack exchange，提问作者Daniel Lopez