Tomcat安全认证不由环境变量控制，必须修改三个配置文件：conf/tomcat-users.xml定义用户角色、webapps/manager/META-INF/context.xml放宽IP访问限制、conf/server.xml启用Realm；缺一不可，否则即使密码正确也会出现401/403错误。
Tomcat本身不通过环境变量实现安全认证，CATALINA_HOME、JAVA_HOME这类变量只影响启动路径和JVM加载，跟用户登录、角色权限、SSL配置完全无关。安全认证必须靠修改配置文件来完成。
为什么改环境变量对Tomcat登录没用
很多人误以为设置CATALINA_OPTS或自定义变量就能开启Manager页面登录，其实不是。Tomcat的认证机制由以下三部分协同控制：
-
conf/tomcat-users.xml：定义用户名、密码、角色（如manager-gui） -
webapps/manager/META-INF/context.xml：默认限制只允许localhost访问，需手动放宽 -
conf/server.xml中的Realm配置：决定用哪种认证后端（MemoryRealm、JDBCRealm等）
环境变量既不参与用户校验流程，也不影响BasicAuth或FormAuth的触发逻辑。强行在CATALINA_OPTS里加-Duser=admin之类参数，Tomcat根本不会读取它做认证。
真正要改的三个配置文件位置
安全认证生效的前提是这三处都正确配置，缺一不可：
-
conf/tomcat-users.xml：必须包含带manager-gui或admin-gui角色的用户，例如：<user username="admin" password="s3cr3t" roles="manager-gui,admin-gui"/>
-
webapps/manager/META-INF/context.xml：注释掉或删除默认的Valve限制段，否则即使密码正确也会被拒绝访问 -
conf/server.xml：确认<Realm className="org.apache.catalina.realm.MemoryRealm"/>已启用（默认就是，除非你主动删了）
常见失败现象与对应检查点
输对密码却提示403或401，多数是下面某个环节出问题：
- 浏览器访问
http://localhost:8080/manager/html返回403 → 检查webapps/manager/META-INF/context.xml是否还保留着allow="127\.0\.0\.1|::1"限制 - 点击登录后页面刷新但没进后台 →
tomcat-users.xml里用户没分配manager-gui角色，只写了manager-script或漏写 - 启动日志报
No Realm has been configured to authenticate against→server.xml里Realm被注释或路径写错 - 改完配置重启仍无效 → Windows下用
startup.bat启动时，若之前有残留java.exe进程，新配置不会加载，务必先运行shutdown.bat再重试
安全认证的复杂点不在环境变量，而在配置文件之间的耦合关系——少改一处，整个链路就断掉。尤其context.xml那个IP白名单，默认关死了远程访问，连本地非127.0.0.1的请求都会被拦，这点最容易被忽略。
