1. 项目背景与核心需求
最近在部署一个老Java项目时遇到了JDK兼容性问题。这个项目基于Java 8开发，但直接使用最新版OpenJDK镜像会导致一些依赖库报错。经过排查发现，官方OpenJDK 8镜像已经停止维护，而项目又必须运行在Tomcat容器中。这就引出了两个解决方案：要么基于官方遗留的OpenJDK 8镜像构建Tomcat，要么自己从头构建一个定制化的OpenJDK 8基础镜像。
这个需求在维护历史遗留系统时非常典型。很多企业的Java 8项目由于各种原因无法升级到新版本JDK，但又需要容器化部署。通过这个案例，我想分享两种构建Tomcat镜像的方案对比，以及在实际生产环境中的选择建议。
2. 镜像构建方案对比
2.1 官方OpenJDK 8镜像方案
目前Docker Hub上官方维护的OpenJDK 8镜像标签为openjdk:8-jdk，最后一次更新是在2022年4月。虽然官方已停止安全更新，但对于内部网络环境或短期过渡场景仍可使用。
优势：
- 开箱即用，构建简单
- 镜像体积相对较小（约500MB）
- 经过广泛验证的稳定版本
劣势：
- 不再接收安全补丁
- 部分Linux发行版的包管理器可能失效
- 内置的CA证书可能过期
2.2 自制OpenJDK 8镜像方案
自制镜像通常基于较新的Linux发行版（如Ubuntu 22.04或Alpine）手动安装JDK 8。以Ubuntu为例，可以通过以下方式获取OpenJDK 8：
apt-get install -y openjdk-8-jdk优势：
- 可以持续获得基础系统的安全更新
- 可定制JVM参数和系统配置
- 能集成最新的CA证书
劣势：
- 构建过程复杂
- 镜像体积较大（Ubuntu基础约1GB）
- 需要自行维护JDK组件
3. 详细构建过程
3.1 基于官方镜像的Dockerfile
FROM openjdk:8-jdk ENV CATALINA_HOME /usr/local/tomcat ENV PATH $CATALINA_HOME/bin:$PATH ENV TOMCAT_MAJOR 8 ENV TOMCAT_VERSION 8.5.89 RUN wget https://archive.apache.org/dist/tomcat/tomcat-$TOMCAT_MAJOR/v$TOMCAT_VERSION/bin/apache-tomcat-$TOMCAT_VERSION.tar.gz && \ tar -xvf apache-tomcat-$TOMCAT_VERSION.tar.gz && \ rm apache-tomcat-$TOMCAT_VERSION.tar.gz && \ mv apache-tomcat-$TOMCAT_VERSION $CATALINA_HOME EXPOSE 8080 CMD ["catalina.sh", "run"]构建命令：
docker build -t tomcat8-official .3.2 基于自制JDK镜像的Dockerfile
FROM ubuntu:22.04 RUN apt-get update && \ apt-get install -y wget openjdk-8-jdk && \ rm -rf /var/lib/apt/lists/* ENV CATALINA_HOME /usr/local/tomcat ENV PATH $CATALINA_HOME/bin:$PATH ENV TOMCAT_MAJOR 8 ENV TOMCAT_VERSION 8.5.89 RUN wget https://archive.apache.org/dist/tomcat/tomcat-$TOMCAT_MAJOR/v$TOMCAT_VERSION/bin/apache-tomcat-$TOMCAT_VERSION.tar.gz && \ tar -xvf apache-tomcat-$TOMCAT_VERSION.tar.gz && \ rm apache-tomcat-$TOMCAT_VERSION.tar.gz && \ mv apache-tomcat-$TOMCAT_VERSION $CATALINA_HOME EXPOSE 8080 CMD ["catalina.sh", "run"]构建命令：
docker build -t tomcat8-custom .4. 关键配置优化
4.1 JVM参数调优
无论哪种方案，都需要在setenv.sh中配置合理的JVM参数：
export JAVA_OPTS="-server -Xms1024m -Xmx2048m -XX:MetaspaceSize=256m -XX:MaxMetaspaceSize=512m"对于容器环境特别要注意：
- 不要超过容器内存限制
- 建议设置
-XX:+UseContainerSupport - 考虑添加
-XX:+HeapDumpOnOutOfMemoryError方便排错
4.2 安全加固措施
- 删除默认的
webapps目录内容：
RUN rm -rf $CATALINA_HOME/webapps/*- 限制管理接口访问：
<!-- conf/tomcat-users.xml --> <role rolename="manager-gui"/> <user username="admin" password="complex_password" roles="manager-gui"/>- 禁用不安全的HTTP方法：
<!-- conf/web.xml --> <security-constraint> <web-resource-collection> <web-resource-name>restricted methods</web-resource-name> <url-pattern>/*</url-pattern> <http-method>PUT</http-method> <http-method>DELETE</http-method> <http-method>TRACE</http-method> </web-resource-collection> <auth-constraint/> </security-constraint>5. 生产环境建议
5.1 镜像选择策略
根据实际需求选择方案：
| 场景 | 推荐方案 | 理由 |
|---|---|---|
| 短期测试/开发 | 官方镜像 | 快速部署，节省时间 |
| 生产环境长期运行 | 自制镜像 | 安全更新有保障 |
| 需要特定系统配置 | 自制镜像 | 定制化程度高 |
| 资源受限环境 | 官方镜像 | 体积更小 |
5.2 维护建议
- 对于自制镜像，建议每月重建一次获取系统更新
- 使用多阶段构建减少最终镜像体积
- 在CI/CD流水线中加入安全扫描步骤
- 考虑使用JVM替代方案如Eclipse Temurin
6. 常见问题排查
6.1 时区问题
症状：日志时间与实际不符 解决方案：
ENV TZ=Asia/Shanghai RUN ln -snf /usr/share/zoneinfo/$TZ /etc/localtime && echo $TZ > /etc/timezone6.2 内存溢出
症状：容器频繁重启 排查方法：
- 检查JVM内存参数是否合理
- 添加
-XX:+HeapDumpOnOutOfMemoryError参数 - 使用
docker stats监控内存使用
6.3 编码问题
症状：中文乱码 解决方案：
ENV LANG C.UTF-8 ENV LC_ALL C.UTF-87. 性能对比测试
在相同硬件环境下对两种镜像进行压力测试（使用JMeter模拟100并发）：
| 指标 | 官方镜像 | 自制镜像 |
|---|---|---|
| 平均响应时间 | 128ms | 135ms |
| 吞吐量 | 856/sec | 832/sec |
| 内存占用 | 1.2GB | 1.4GB |
| 启动时间 | 3.2s | 4.1s |
测试结果显示官方镜像在性能指标上略优，但差距在可接受范围内。自制镜像的主要优势在于长期可维护性而非运行时性能。
8. 进阶优化技巧
8.1 多阶段构建优化
可以进一步优化自制镜像的体积：
# 构建阶段 FROM ubuntu:22.04 as builder RUN apt-get update && apt-get install -y wget openjdk-8-jdk RUN wget https://archive.apache.org/dist/tomcat/tomcat-8/v8.5.89/bin/apache-tomcat-8.5.89.tar.gz RUN tar -xzf apache-tomcat-8.5.89.tar.gz # 最终镜像 FROM ubuntu:22.04 RUN apt-get update && apt-get install -y openjdk-8-jdk-headless && rm -rf /var/lib/apt/lists/* COPY --from=builder apache-tomcat-8.5.89 /usr/local/tomcat这种构建方式可以将镜像体积减少约40%。
8.2 使用Alpine基础镜像
对于更极致的体积优化，可以考虑Alpine Linux：
FROM alpine:3.16 RUN apk add --no-cache openjdk8 ENV CATALINA_HOME /usr/local/tomcat ENV PATH $CATALINA_HOME/bin:$PATH RUN wget https://archive.apache.org/dist/tomcat/tomcat-8/v8.5.89/bin/apache-tomcat-8.5.89.tar.gz && \ tar -xzf apache-tomcat-8.5.89.tar.gz && \ rm apache-tomcat-8.5.89.tar.gz && \ mv apache-tomcat-8.5.89 $CATALINA_HOME EXPOSE 8080 CMD ["catalina.sh", "run"]这样构建的镜像仅约150MB，但需要注意：
- 某些Java特性可能受限
- 调试工具较少
- musl libc与glibc的兼容性问题
9. 监控与日志管理
9.1 日志配置优化
建议修改conf/logging.properties：
handlers = 1catalina.org.apache.juli.AsyncFileHandler, 2localhost.org.apache.juli.AsyncFileHandler 1catalina.org.apache.juli.AsyncFileHandler.level = FINE 1catalina.org.apache.juli.AsyncFileHandler.directory = ${catalina.base}/logs 1catalina.org.apache.juli.AsyncFileHandler.prefix = catalina. 2localhost.org.apache.juli.AsyncFileHandler.level = FINE 2localhost.org.apache.juli.AsyncFileHandler.directory = ${catalina.base}/logs 2localhost.org.apache.juli.AsyncFileHandler.prefix = localhost.9.2 健康检查配置
在Dockerfile中添加健康检查：
HEALTHCHECK --interval=30s --timeout=3s \ CMD curl -f http://localhost:8080/ || exit 110. 实际部署建议
在Kubernetes环境中部署时，建议配置：
resources: limits: memory: "2Gi" cpu: "1" requests: memory: "1Gi" cpu: "0.5" livenessProbe: httpGet: path: / port: 8080 initialDelaySeconds: 60 periodSeconds: 10 readinessProbe: httpGet: path: / port: 8080 initialDelaySeconds: 30 periodSeconds: 5对于有状态应用，确保正确配置持久化卷：
volumeMounts: - name: tomcat-logs mountPath: /usr/local/tomcat/logs - name: app-data mountPath: /usr/local/tomcat/webapps/ROOT/WEB-INF/data经过多个项目的实践验证，对于关键业务系统，我倾向于使用自制OpenJDK镜像方案。虽然构建过程稍复杂，但能够确保长期的安全维护能力。一个实用的技巧是在CI/CD流水线中设置自动化的镜像重建任务，每月基于最新的基础镜像重新构建应用镜像，确保系统组件始终保持最新状态。
