如何在Tomcat中为单个WAR包配置HTTP基本认证而不修改WAR文件

当然可以！你完全不需要修改第三方WAR包里的web.xml——Tomcat提供了外部Context配置的方式，能单独给/private这个应用添加HTTP Basic认证，而且完全不受WAR包更新的影响（你的担心是对的，直接修改解压后的web.xml确实会在WAR包更新时被覆盖）。

具体步骤如下： #

1. 创建应用专属的Context配置文件
   在Tomcat的conf/Catalina/localhost/目录下（默认引擎是Catalina，默认主机是localhost，如果你的环境有自定义引擎/主机，替换成对应目录），新建一个名为private.xml的文件（文件名必须和你的应用context-path一致：比如应用访问路径是/private，文件名就是private.xml）。

2. 在Context文件中配置安全约束
   将以下内容写入private.xml，这会为/private下的所有资源启用HTTP Basic认证：

   <Context>
       <!-- 定义需要保护的资源范围 -->
       <security-constraint>
           <web-resource-collection>
               <web-resource-name>Private Application Resources</web-resource-name>
               <url-pattern>/*</url-pattern> <!-- 匹配应用下所有路径 -->
           </web-resource-collection>
           <!-- 指定允许访问的用户角色 -->
           <auth-constraint>
               <role-name>private-app-user</role-name>
           </auth-constraint>
       </security-constraint>
   
       <!-- 配置认证方式为HTTP Basic -->
       <login-config>
           <auth-method>BASIC</auth-method>
           <realm-name>Private App Authentication</realm-name> <!-- 浏览器弹出的认证框会显示这个名称 -->
       </login-config>
   
       <!-- 声明需要用到的角色 -->
       <security-role>
           <role-name>private-app-user</role-name>
       </security-role>
   </Context>
   

3. 配置可访问的用户和角色
   打开Tomcat的conf/tomcat-users.xml，添加具备private-app-user角色的用户（默认Tomcat使用UserDatabaseRealm，用户信息存在这个文件里）：

   <user username="john_doe" password="your_secure_password" roles="private-app-user"/>
   

   如果你使用的是其他Realm（比如JDBCRealm、DataSourceRealm），只需在对应Realm的用户存储中添加具备该角色的用户即可。

关键说明： #

• 这种配置方式完全独立于WAR包内部的web.xml，第三方更新private.war时，外部的private.xml不会被覆盖，你的认证配置会一直生效。
• Tomcat会优先读取外部Context配置文件的内容，补充或覆盖应用自身web.xml的配置，所以即使第三方WAR里没有安全约束，我们的外部配置也会生效。
• 配置完成后，重启Tomcat即可生效（如果你的Tomcat开启了自动部署，可能无需重启，但重启是最稳妥的方式）。

内容的提问来源于stack exchange，提问作者Tadeus Senf