Linux下Tomcat Java应用访问user.home外目录isDirectory返回false问题

问题原因 #

核心原因1：SELinux访问拦截 #

Red Hat系统默认启用SELinux强制访问控制，即使目录的POSIX权限位配置正确，Tomcat进程所属的tomcat_t安全域默认没有权限访问自定义目录/nasdata（你提供的权限信息中/nasdata无SELinux上下文标记，默认属于未授权的default_t类型），SELinux拦截访问请求后，Java的File.isDirectory()方法会直接返回false，不会抛出权限异常。

次要原因2：Tomcat安全管理器限制 #

如果你开启了Tomcat的安全管理器，默认安全策略仅允许Web应用访问/opt/tomcat范围内的目录，访问外部目录会被策略拦截，也会导致路径判断失败。

POSIX权限验证 #

你可以先执行以下命令确认基础权限是否正常：

su - tomcat -c "ls -ld /nasdata"

如果命令能正常输出/nasdata的权限信息，说明POSIX权限没有问题，问题出在SELinux或安全管理器。如果命令报错没有权限，可执行usermod -aG 9999 tomcat将tomcat用户加入/nasdata的属组，再重启Tomcat验证。 #

解决方法 #

方法1：配置SELinux规则（优先推荐，不降低系统安全性） #

如果仅需要Tomcat只读访问/nasdata，执行以下命令配置上下文：

# 添加SELinux上下文规则
semanage fcontext -a -t httpd_sys_content_t "/nasdata(/.*)?"
# 生效规则
restorecon -Rv /nasdata

如果需要Tomcat读写/nasdata，执行以下命令：

semanage fcontext -a -t httpd_sys_rw_content_t "/nasdata(/.*)?"
restorecon -Rv /nasdata
# 开启读写布尔值
setsebool -P httpd_unified 1

方法2：调整Tomcat安全管理器策略（仅开启安全管理器时需要） #

编辑/opt/tomcat/conf/catalina.policy文件，在末尾添加对应应用的目录权限：

grant codeBase "file:${catalina.base}/webapps/替换为你的应用名/-" {
    permission java.io.FilePermission "/nasdata/-", "read,write,delete,execute";
};

修改后重启Tomcat即可生效。

临时验证方法 #

你可以执行setenforce 0临时关闭SELinux测试，如果此时目录判断正常，即可100%确认是SELinux拦截导致的问题，不建议直接永久关闭SELinux，优先用方法1配置规则。

内容的提问来源于stack exchange，提问作者saurav