为什么Tomcat的RemoteAddrValve拦截阀在Win10系统中运行不符合预期？

问题根因 #

1. Windows 10默认优先启用IPv6协议栈，访问localhost时系统默认解析为带网卡作用域后缀的IPv6回环地址，格式为::1%<接口序号>（例如::1%4）。你原配置中的allow规则仅匹配纯::1格式的IPv6回环地址，无法匹配带后缀的地址，因此本地请求被拦截。
2. 若设备安装有虚拟机、VPN类软件生成的虚拟网卡，本地回环请求的源IP可能被识别为虚拟网卡所属网段的IP，不在127.0.0.0/8段范围内，也会触发拦截规则。

解决方案 #

• 方案1：修改拦截阀正则，兼容带作用域后缀的IPv6回环地址：

<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="127\.\d+\.\d+\.\d+|::1|::1%.*"/>

• 方案2：强制Tomcat使用IPv4栈处理请求，在Win10环境的Tomcat启动脚本catalina.bat开头添加如下参数：

set "CATALINA_OPTS=-Djava.net.preferIPv4Stack=true"

修改后重启Tomcat即可，该配置会让本地localhost访问优先走IPv4回环地址，匹配原规则中的127\.\d+\.\d+\.\d+逻辑。

如果以上方案仍不生效，可先为Tomcat配置访问日志，输出客户端真实IP（日志格式中添加%h占位符），确认本地访问的实际源IP后，补充到allow的正则规则中即可。

内容的提问来源于stack exchange，提问作者ngong