根本原因是Tomcat启动后以当前用户身份访问自身目录时被系统拒绝，常见于Linux下解压到/opt等受限目录或Windows下路径含空格/中文/权限异常，即使CATALINA_HOME配置正确，读取conf/server.xml或写入logs/catalina.out仍会失败。
为什么 CATALINA_HOME 配置正确却报权限错误
根本原因不是环境变量写错了，而是 Tomcat 启动后以当前用户身份访问自身目录时被系统拒绝。常见于 Linux 下将 Tomcat 解压到 /opt、/usr/local 等受限目录，或 Windows 下解压路径含空格/中文/权限继承异常。此时即使 echo $CATALINA_HOME 输出正确，startup.sh 仍会在尝试读取 conf/server.xml 或写入 logs/catalina.out 时失败。
Linux 下修复权限的最小必要操作
不要直接 chmod -R 777，这会引入安全风险且不解决属主问题。应聚焦三个关键点：
- 确认 Tomcat 目录归属：用
ls -ld /opt/tomcat查看属主，若显示root root，普通用户无法写日志 - 设置合理权限：对
logs、temp、work、webapps四个目录赋予组写权限，例如chmod -R g+w /opt/tomcat/logs /opt/tomcat/temp /opt/tomcat/work /opt/tomcat/webapps - 改属主（推荐）：创建专用用户
tomcat，执行chown -R tomcat:tomcat /opt/tomcat，再用该用户启动服务 - 避免覆盖 bin 目录执行权：确保
bin/startup.sh有执行权限，但无需递归赋权整个bin目录
Windows 下路径与权限的隐藏陷阱
报“拒绝访问”不一定是 NTFS 权限问题，更常因以下两点触发：
-
CATALINA_HOME路径末尾带反斜杠（如D:pache-tomcat-9.0.69）——catalina.bat 会拼出D:pache-tomcat-9.0.69\binsetenv.bat，导致路径解析失败 - 安装路径含空格（如
C:Program FilesTomcat）——脚本中未加引号包裹路径，%CATALINA_HOME%incatalina.bat被截断为C:Program - UAC 限制：即使以管理员运行 cmd，若未勾选“以管理员身份运行”，对
Program Files下目录的写操作仍被拦截 - 解决方案：重装到纯英文无空格路径（如
D: omcat9），环境变量值不带末尾反斜杠，启动时右键选择“以管理员身份运行命令提示符”
catalina.sh 和 setenv.sh 中的权限相关配置项
Linux 下真正影响运行时权限行为的是这两个文件里的参数，而非环境变量本身：
-
setenv.sh中可显式指定运行用户：export CATALINA_PID="/var/run/tomcat.pid"（需确保该路径可写） - 在
catalina.sh开头添加umask 002，让 Tomcat 创建的临时文件默认具备组写权限 - 若使用 systemd 管理服务，
ExecStart必须用完整路径调用startup.sh，且User=tomcat和Group=tomcat必须与目录属主一致 - 切勿在
setenv.sh中写export JAVA_HOME="C:Program FilesJavajdk-17"—— 这是 Windows 风格路径，在 Linux 下会直接导致启动失败
最易被忽略的是：Linux 下修改完权限后必须重启 shell 才能重新加载 ~/.bashrc 中的 CATALINA_HOME；而 Windows 下改完环境变量必须新开命令行窗口，旧窗口里的 %CATALINA_HOME% 仍是缓存值。
