Tomcat 9 配置JMX RMI认证后启动报错1067问题咨询

问题根因 #

Tomcat 9相比Tomcat 8调整了JMX RMI服务的默认绑定规则、路径解析逻辑和端口校验规则，原配置没有适配这些变更，才会导致启动失败。

必须添加/调整的配置项 #

• 首先修改冲突端口：原配置中JMX端口用了8080，这是Tomcat默认HTTP服务端口，先改为未被占用的端口，例如1099
• 添加本地绑定配置（适配你不需要远程JMX连接的需求，同时解决Tomcat 9默认绑定所有接口导致的启动报错）：

-Dcom.sun.management.jmxremote.host=127.0.0.1
-Djava.rmi.server.hostname=127.0.0.1

• 显式指定RMI端口，和JMX端口保持一致，避免随机端口导致的认证失败：

-Dcom.sun.management.jmxremote.rmi.port=1099

• 处理路径空格问题：原配置中密码文件、权限文件路径包含空格，Tomcat 9对带空格的路径解析更严格，你可以把jmxremote.password和jmxremote.access两个文件复制到不含空格的路径下（例如C:\tomcat9\conf\），再修改配置中的对应路径。

调整后完整的配置示例 #

-Dcom.sun.management.jmxremote.port=1099
-Dcom.sun.management.jmxremote.rmi.port=1099
-Dcom.sun.management.jmxremote.host=127.0.0.1
-Djava.rmi.server.hostname=127.0.0.1
-Dcom.sun.management.jmxremote.authenticate=true
-Dcom.sun.management.jmxremote.ssl=false
-Dcom.sun.management.jmxremote.password.file=C:\tomcat9\conf\jmxremote.password
-Dcom.sun.management.jmxremote.access.file=C:\tomcat9\conf\jmxremote.access

更安全的替代方案（仅针对不需要远程JMX连接的场景） #

如果完全不需要使用JMX功能，你可以直接移除所有JMX相关配置，添加-Dcom.sun.management.jmxremote=false即可，从根源上避免JMX相关漏洞，无需额外配置认证。

内容的提问来源于stack exchange，提问作者Josh Clark