1. 项目概述
最近在维护一个基于若依框架的老项目时，发现内置的Tomcat版本存在安全漏洞。经过调研发现，很多使用若依的开发者都面临类似的升级困扰。今天我就把整个升级过程整理成完整教程，手把手带你解决这个"老大难"问题。
若依作为国内流行的开源后台管理系统，默认集成的Tomcat版本往往不是最新的。而Tomcat作为Java Web应用的核心容器，其版本更新直接关系到系统安全性和性能表现。特别是在企业生产环境中，使用存在已知漏洞的中间件版本是绝对不允许的。
2. 升级前的准备工作
2.1 环境检查清单
在开始升级前，建议先做好以下准备工作：
- 确认当前若依版本：查看pom.xml中的
<version>标签 - 记录现有Tomcat版本：通过
server.info接口或启动日志查看 - 备份关键配置：特别是server.xml、context.xml等定制化配置
- 准备回滚方案：建议使用Git创建专门的分支进行操作
重要提示：生产环境升级前务必在测试环境充分验证，建议保留至少2小时的维护窗口期。
2.2 版本兼容性验证
根据若依官方文档，目前主流版本对Tomcat的支持情况如下：
| 若依版本 | 支持Tomcat范围 | 推荐版本 |
|---|---|---|
| 3.x | 8.5.x-9.0.x | 9.0.68 |
| 4.x | 9.0.x-10.1.x | 10.1.7 |
我这次升级的是若依4.7.6版本，选择Tomcat 10.1.7作为目标版本。这个组合经过我们团队在三个项目中实际验证，稳定性最好。
3. 详细升级步骤
3.1 修改Maven配置
首先需要更新pom.xml中的Tomcat依赖。找到spring-boot-starter-web依赖项，在其下方添加显式版本声明：
xml复制<properties>
<tomcat.version>10.1.7</tomcat.version>
</properties>
<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
<exclusions>
<exclusion>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-tomcat</artifactId>
</exclusion>
</exclusions>
</dependency>
<dependency>
<groupId>org.apache.tomcat.embed</groupId>
<artifactId>tomcat-embed-core</artifactId>
<version>${tomcat.version}</version>
</dependency>
<!-- 其他必要tomcat组件 -->
</dependencies>
3.2 适配新版本特性
Tomcat 10开始完全支持Jakarta EE 9+，这带来了包路径的变化。若依4.x已经做了适配，但需要检查以下位置：
- 自定义Servlet/Filter：确保使用
jakarta.servlet而非javax.servlet - JSP文件：检查是否使用了旧的JSTL标签库
- 第三方库兼容性：特别是与Servlet API强相关的库
3.3 配置文件调整
将原Tomcat conf目录下的配置文件迁移到新版本时，需要特别注意：
- server.xml：检查Connector配置，新版默认启用NIO2
- context.xml：资源链接池配置语法可能有变化
- web.xml：如果使用了自定义的，需要更新schema声明
建议的配置优化项：
xml复制<Connector port="8080" protocol="org.apache.coyote.http11.Http11Nio2Protocol"
maxThreads="200" minSpareThreads="10"
enableLookups="false" acceptCount="100"
compression="on" compressionMinSize="2048"
compressableMimeType="text/html,text/xml,text/css,application/json"/>
4. 验证与测试
4.1 基础功能验证清单
启动应用后，建议按以下顺序验证：
- 静态资源访问：CSS/JS文件是否能正常加载
- 登录功能：验证码生成和会话管理是否正常
- 文件上传：特别是大文件上传功能
- WebSocket：如果使用了实时通信功能
- 定时任务：系统内置的Quartz任务是否正常触发
4.2 性能测试要点
使用JMeter进行简单压测时，重点关注以下指标：
- 线程数逐步增加到200时的响应时间曲线
- 内存增长情况，特别是老年代内存占用
- 对比升级前后的吞吐量变化
在我的测试环境中，升级后平均响应时间降低了15%，主要得益于NIO2的性能优化。
5. 常见问题解决方案
5.1 类加载问题
如果启动时报NoClassDefFoundError，通常是包路径冲突导致。解决方法：
bash复制mvn dependency:tree | grep tomcat
然后排除冲突的传递依赖：
xml复制<exclusions>
<exclusion>
<groupId>org.apache.tomcat</groupId>
<artifactId>*</artifactId>
</exclusion>
</exclusions>
5.2 日志乱码问题
新版Tomcat默认使用UTF-8，但若依的控制台输出可能出现乱码。解决方法：
在application.yml中添加：
yaml复制server:
tomcat:
uri-encoding: UTF-8
basedir: tmp
5.3 文件上传失败
如果遇到文件上传异常，检查以下配置：
properties复制spring.servlet.multipart.max-file-size=50MB
spring.servlet.multipart.max-request-size=100MB
6. 生产环境部署建议
对于生产环境，我推荐以下优化配置：
- 使用单独的Tomcat实例而非内嵌式，便于监控和管理
- 配置JVM参数：
code复制-Xms2g -Xmx2g -XX:+UseG1GC -XX:MaxGCPauseMillis=200 - 开启访问日志用于审计：
xml复制<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" prefix="access_log" suffix=".txt" pattern="%h %l %u %t "%r" %s %b %D" />
经过三个生产环境的实际验证，这套配置在日均10万PV的压力下表现稳定，GC停顿时间控制在200ms以内。