如何为Oracle 12C多租户数据库配置Tomcat 9的JDBCRealm？

Got it, let's walk through setting up JDBCRealm for your Tomcat 9 + Oracle 12c Multitenant setup. I've tackled this scenario a few times, so here's a step-by-step breakdown that should work smoothly for you:

一、先搞定数据库端准备 #

• 确认表结构匹配JDBCRealm要求：
  • 用户表（比如命名为USERS）：至少包含用户名（例：USERNAME）和密码（例：PASSWORD）字段
  • 角色关联表（比如USER_ROLES）：至少包含用户名（例：USERNAME）和角色名（例：ROLE_NAME）字段

  提示：如果你的表/字段名不一样，后续配置里要对应修改

• 给Tomcat用的数据库用户授权：
  确保用于连接的数据库账号能查询这两张表，执行SQL：

  GRANT SELECT ON YOUR_SCHEMA.USERS TO TOMCAT_DB_USER;
  GRANT SELECT ON YOUR_SCHEMA.USER_ROLES TO TOMCAT_DB_USER;
  

• 注意多租户连接要点：Oracle 12c的用户表肯定在**可插拔数据库（PDB）**里，记好你的PDB名称（比如PDB_PROD），后续JDBC URL要指定它

二、部署Oracle JDBC驱动到Tomcat #

• 下载对应Oracle 12c的JDBC驱动（推荐ojdbc8.jar，适配Tomcat 9的Java 8+环境）
• 把驱动文件复制到Tomcat安装目录的lib文件夹下，然后重启Tomcat让驱动生效

三、配置Tomcat的JDBCRealm #

你可以选择全局配置（所有应用共用）或者单应用配置，这里以全局配置为例：

1. 配置数据源（修改server.xml） #

找到<GlobalNamingResources>节点，添加如下<Resource>配置：

<Resource name="jdbc/OracleAuthDB"
          auth="Container"
          type="javax.sql.DataSource"
          driverClassName="oracle.jdbc.OracleDriver"
          url="jdbc:oracle:thin:@//your-db-host:1521/your-pdb-name"
          username="tomcat_db_user"
          password="tomcat_db_password"
          maxTotal="100"
          maxIdle="30"
          maxWaitMillis="10000"/>

说明：url里的your-pdb-name要替换成你实际的可插拔数据库名称，端口默认1521，根据你的环境调整

2. 配置JDBCRealm（关联数据源） #

在server.xml的<Engine>节点下添加<Realm>配置：

<Realm className="org.apache.catalina.realm.JDBCRealm"
       dataSourceName="jdbc/OracleAuthDB"
       userTable="YOUR_SCHEMA.USERS"
       userNameCol="USERNAME"
       userCredCol="PASSWORD"
       userRoleTable="YOUR_SCHEMA.USER_ROLES"
       roleNameCol="ROLE_NAME"
       digest="MD5"/> <!-- 密码加密说明：如果是明文存储就删掉这个属性；用SHA-256加密就改成SHA-256 -->

关键参数提醒：

• dataSourceName必须和上面<Resource>的name完全一致
• userTable/userRoleTable要带上你的数据库schema名称（比如SCOTT.USERS）
• digest要和你存储密码时用的加密算法匹配，生产环境绝对不建议明文存储

四、在Web应用中验证配置（示例） #

在你的Web应用WEB-INF/web.xml里添加安全约束，测试Realm是否生效：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected Pages</web-resource-name>
        <url-pattern>/admin/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>ADMIN</role-name> <!-- 要和你角色表里的角色名一致 -->
    </auth-constraint>
</security-constraint>

<login-config>
    <auth-method>FORM</auth-method>
    <form-login-config>
        <form-login-page>/login.html</form-login-page>
        <form-error-page>/login-fail.html</form-error-page>
    </form-login-config>
</login-config>

<security-role>
    <role-name>ADMIN</role-name>
</security-role>

五、常见坑点排查 #

• 连接失败：检查JDBC URL是否正确指定PDB，数据库账号密码是否正确，驱动是否放到了Tomcat的lib目录
• 权限报错：确认Tomcat用的数据库用户有SELECT权限访问用户和角色表
• 密码验证失败：核对digest参数和密码存储的加密算法是否匹配；注意Oracle默认会把字符串转大写，如果你表字段是小写，创建时要加双引号

内容的提问来源于stack exchange，提问作者Freddie