很多刚接触Tomcat服务器的开发者或运维人员常会问：“Tomcat默认密码是什么？为什么我访问管理页面时提示需要登录却登不进去？”
其实答案很简单：Tomcat服务器默认是没有预设管理员密码的。无论是Tomcat 8、9还是最新的10版本，默认安装后，其管理控制台（如Manager App、Host Manager）的权限配置处于“未启用”状态——既没有预先创建管理员账户，也没有设置任何密码。这种设计的初衷是为了降低初始安装的门槛，让用户能快速启动服务进行测试，但也隐藏着明显的安全风险。
如果直接使用默认配置运行Tomcat，你会发现访问http://localhost:8080/manager/html（应用管理页面）或http://localhost:8080/host-manager/html（虚拟主机管理页面）时，会弹出登录窗口却无法通过验证——因为根本没有可用的账户。要正常使用管理功能，必须手动配置用户和密码。
具体操作也很简单：找到Tomcat安装目录下的conf/tomcat-users.xml文件，在<tomcat-users>标签内添加管理员账户配置。例如：
<user username="admin" password="YourStrongPassword123!" roles="manager-gui,admin-gui"/>保存文件后重启Tomcat，就能用设置的账号密码登录管理控制台了。
需要特别提醒的是：不要忽视默认配置的安全隐患。如果在公网环境中直接运行未配置密码的Tomcat，攻击者可能通过未授权访问篡改应用、上传恶意文件，甚至控制服务器。因此，无论用于测试还是生产环境，第一步都应该配置强密码（包含大小写字母、数字和特殊符号），并避免使用“admin”“123456”这类弱密码。
总之，Tomcat没有“默认密码”，但“默认无密码”的状态恰恰是最需要警惕的配置。掌握正确的账户配置方法，是保障Tomcat服务器安全运行的第一步。