java生产环境部署需统一lts版jdk（如17/21）、非root用户运行、显式jvm参数（-xms/-xmx相等、usezgc/g1gc）、外部化配置、gc日志与prometheus监控、权限隔离及日志滚动。
在服务器上部署 Java 生产环境，核心是稳定、安全、可维护，不是装上 JDK 就算完事。重点在于版本统一、权限隔离、启动可控、日志可溯、资源受控。
选对 JDK 版本并统一管理
生产环境优先选用长期支持（LTS）版本，如 OpenJDK 17 或 21，避免使用已停止更新的旧版（如 8、11 虽仍被广泛使用，但需确认是否仍在官方支持周期内）。不要混用不同厂商的 JDK（如 Oracle JDK 和 OpenJDK 混用），尤其在多节点集群中必须保持完全一致。
- 通过 tar.gz 手动解压安装，而非系统包管理器（如 apt/yum），避免被自动升级打乱环境
- 将 JDK 安装到固定路径（如 /opt/java/jdk-17.0.2），并通过软链接（/opt/java/latest）指向当前生效版本，便于后续平滑切换
- 所有 Java 应用统一通过 JAVA_HOME 环境变量加载，禁止在脚本中硬编码路径
以非 root 用户运行应用进程
Java 应用（如 Spring Boot、Tomcat）绝不能用 root 启动。创建专用用户（如 appuser），仅赋予其对应用目录、日志目录、配置文件的读写权限，其他系统路径一律禁止访问。
- 启动脚本中显式指定 USER=appuser，或使用 systemd 的 User=appuser 字段
- 配置文件（application.yml/properties）和敏感配置（如数据库密码）不放在 classpath 下，改用外部挂载或配置中心，避免误提交或泄露
- 禁用 JDK 的 JMX 远程监控（除非确有需要且已启用认证+SSL），防止未授权访问
合理设置 JVM 启动参数
默认参数不适合生产。必须显式指定堆内存、GC 策略、字符编码、时区和基础日志选项，避免依赖系统默认值导致行为不一致。
立即学习“Java免费学习笔记（深入）”；
- 堆内存：用 -Xms 和 -Xmx 设为相同值（如 -Xms2g -Xmx2g），防止运行时扩容抖动
- GC：JDK 17+ 推荐 -XX:+UseZGC（低延迟场景）或 -XX:+UseG1GC（通用场景），禁用 ParallelGC（吞吐优先但停顿不可控）
- 必加项：-Dfile.encoding=UTF-8 -Duser.timezone=Asia/Shanghai -Djava.security.egd=file:/dev/./urandom
- 开启 GC 日志：-Xlog:gc*:file=/var/log/myapp/gc.log:time,tags:filecount=5,filesize=50m
日志、监控与权限分离
日志不能只靠 System.out，也不能全写进 /tmp。监控不能只靠 jstat，更不能开放 jstack/jcmd 给所有人。
- 应用日志统一由 Logback/Log4j2 输出到独立目录（如 /var/log/myapp/），按天滚动，保留 30 天，目录属主设为 appuser
- 标准输出（stdout/stderr）重定向到日志文件，避免丢失；Spring Boot 可加 --logging.file.name=... 控制
- 暴露 Prometheus metrics 端点（如 /actuator/prometheus），配合 node_exporter + Grafana 做基础 JVM 指标采集
- 禁止开放 8000、8080、9000 等调试端口到公网；如需远程诊断，走跳板机 + SSH 端口转发，且限制源 IP
不复杂但容易忽略。每一步都在降低故障概率和排查成本。
