Tomcat9文件写入/tmp/systemd-private路径而非指定路径如何解决

你看到的带/tmp/systemd-private-xxxx-tomcat9.service-xxxx/前缀的异常写入路径，是Debian默认Tomcat9服务开启的systemd PrivateTmp 沙箱机制导致的。该机制会为Tomcat分配独立的临时文件命名空间，当Tomcat进程对目标写入路径无足够权限时，写入操作会被自动重定向到systemd生成的私有临时目录，和你Java代码中写的路径逻辑无关。

方案1：配置目录权限+路径白名单（推荐，不破坏默认安全规则） #

这个方案保留PrivateTmp的安全隔离特性，只给业务需要的目录开权限，风险最低：

• 首先给Tomcat默认运行用户tomcat授予目标目录的读写权限，执行以下命令：

sudo chown -R tomcat:tomcat /home/myuser/rechnungsexport/
sudo chmod -R 750 /home/myuser/rechnungsexport/

• 新建systemd服务覆盖配置，给Tomcat开放目标目录的读写白名单：

sudo systemctl edit tomcat9.service

在弹出的编辑器中填入以下配置：

[Service]
ReadWritePaths=/home/myuser/rechnungsexport/

保存退出后重载配置、重启Tomcat生效：

sudo systemctl daemon-reload
sudo systemctl restart tomcat9

方案2：直接关闭PrivateTmp隔离（配置简单，安全性较低） #

如果不想单独配置路径白名单，可以直接关闭Tomcat的私有tmp隔离，操作如下：

• 编辑Tomcat9的systemd服务文件/lib/systemd/system/tomcat9.service，找到PrivateTmp=true配置项，修改为PrivateTmp=false
• 执行以下命令重载配置重启服务：

sudo systemctl daemon-reload
sudo systemctl restart tomcat9

该方案会让Tomcat和系统其他进程共享临时目录，存在临时文件被恶意嗅探的风险，生产环境不推荐使用。

你当前的代码存在硬编码路径、无目录存在校验的问题，建议补充逻辑避免运行时异常：

String lokalerDateiPfad = "/home/myuser/rechnungsexport/a1/";
// 自动创建不存在的目标目录
File targetDir = new File(lokalerDateiPfad);
if (!targetDir.exists()) {
    targetDir.mkdirs();
}
ByteArrayOutputStream baos = new ByteArrayOutputStream();
JasperExportManager.exportReportToPdfStream(jasperPrint, baos);

try (OutputStream outputStream = new FileOutputStream(lokalerDateiPfad + dateiName)) {
    baos.writeTo(outputStream);
} catch (Exception e) {
    logger.error("PDF导出写入失败", e);
}

注意：不要将需要持久化存储的业务文件存放在Tomcat的webapps目录、系统临时目录下，服务重启、war包重部署时这些目录的文件可能被自动清理。

内容的提问来源于stack exchange，提问作者eckad158