★ FEATURED ARTICLE 1. Tomcat 与 JDK 版本冲突endorsed.dirs 报错到底怎么回事如果你最近把 Tomcat 从 7 升到 9、10或者把 JDK 从 8 换到 11、17启动时突然蹦出这么一段-Djava.endorsed.dirsD:\apache-tomcat-7.0.57-windows-x64\apache-tomcat-7.0.57\endorsed is not supported. Endorsed standards and standalone APIs in modular form will be supported via the concept of upgradeable modules. Error: Could not create the Java Virtual Machine.先别急着怀疑自己装错了 JDK。这个报错的核心不是“JDK 坏了”而是endorsed.dirs 这个参数在新版 JDK 里被彻底移除了。Tomcat 7 时代的启动脚本catalina.bat/catalina.sh里默认会拼一个-Djava.endorsed.dirs...\endorsedJDK 8 还认这个参数JDK 9 之后 JVM 直接拒绝启动于是Could not create the Java Virtual Machine就来了。那 endorsed.dirs 是干什么的简单类比它相当于给 JVM 开了一个“官方 API 覆盖区”。早期 Java 的 XML 解析、CORBA、Web Services 这些标准 API允许你把新版本的实现 jar 丢进endorsed目录JVM 会优先加载它们而不是 JDK 自带的旧实现。这在 JDK 8 及以前是刚需比如你想用新版 Xerces 覆盖 JDK 自带的解析器。但 JDK 9 引入模块化JPMS之后官方认为“覆盖 JDK 自带 API”这件事应该由upgradeable modules机制来做endorsed.dirs和ext.dirs一起被砍掉了。所以你会看到报错里那句提示will be supported via the concept of upgradeable modules。这个场景适合谁三类人最容易踩第一类维护老 Java Web 项目Tomcat 还是 7 或 8但服务器上 JDK 被运维统一升到了 11/17一启动就崩。第二类本地开发环境装了多个 JDKJAVA_HOME指向了高版本但项目用的还是老 Tomcat。第三类做接口联调时想用统一的 API 通道验证服务是否正常结果服务压根起不来误以为是网络或 Key 的问题。我试过最典型的坑一台机器上 JDK 8 和 JDK 17 共存JAVA_HOME没改Tomcat 7 直接报 endorsed 错误。当时第一反应是去改catalina.bat但改完发现还有别的兼容问题。所以这篇不只是教你“删掉那行参数”而是把配置迁移 类加载冲突排查 用 TaoToken 统一通道验证接口这条链路走通。先明确一个判断标准报错里出现endorsed.dirs ... is not supported就是 JDK 版本 ≥ 9 与老 Tomcat 的组合问题如果报错是UnsupportedClassVersionError那是编译版本和运行版本不匹配属于另一类问题。两者别混。下面按“先定位、再改配置、再验证”的顺序来每一步都给可复制的片段。2. TaoToken 前置准备统一 Key 与 API 通道在动手改 Tomcat 配置之前先把“验证通道”准备好。原因很实际你改完 endorsed 配置、服务能起来之后总得确认接口调用是通的。如果每个环境都去配一遍不同的 Key、不同的 Base URL排查成本会翻倍。用 TaoToken 做统一入口好处是一个 Key、一个 Base URL本地、测试、容器里都能复用出问题时也能快速判断是“服务没起来”还是“通道配错了”。TaoToken 在这里扮演的角色是统一的模型 API 网关你拿到一个 Key就能通过兼容 OpenAI 协议的接口去调用模型用来做接口连通性验证、日志分析辅助、甚至让模型帮你读 Tomcat 报错。官网入口是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 根地址是 https://taotoken.net/api 这个不加 UTM。具体要准备三样东西我把它叫“三件套”后面所有配置都围绕它项目值说明Base URLhttps://taotoken.net/api所有请求的前缀兼容 OpenAI 路径API Key在控制台生成形如sk-...只显示一次记得存好Model ID按需选择验证连通性时随便选一个可用模型即可拿 Key 的路径进控制台 → API Keys → 新建。控制台地址是 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。如果你只是想先验证模型能不能通可以直接用模型对话页面 https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 试一条消息不用写代码。这里要提醒一句Key 不要硬编码进catalina.bat或提交到 Git。正确做法是放到环境变量里Tomcat 启动时通过setenv.batWindows或setenv.shLinux注入。这样配置和密钥分离迁移时只改一处。为什么要在 Tomcat 排查里引入这个因为很多“接口 500”其实是服务启动阶段就埋了雷。endorsed 配置没改干净Tomcat 可能“看起来启动了”但某个 Servlet 初始化失败接口一调就报错。这时候你需要一个稳定的外部通道去区分是应用内部类加载问题还是外部调用问题。TaoToken 的连通性验证就是干这个的。如果你后续要做长期编码或 Agent 类任务可以了解 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite API Keys 管理在 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。准备完这三件套就可以进入配置环节了。3. 可复制配置server.xml 与 catalina.properties 迁移这一节是核心给的都是能直接抄的片段。先说清楚原理老 Tomcat 的 endorsed 机制依赖两个地方——启动脚本里的-Djava.endorsed.dirs参数以及conf/catalina.properties里的相关配置。JDK 9 不认这个参数所以要么降 JDK要么把 endorsed 的职责迁移到别的机制上。方案 A临时降 JDK最快但不推荐长期用如果你只是想先让服务跑起来把JAVA_HOME指回 JDK 8:: Windows 临时切换当前命令行窗口有效 set JAVA_HOMED:\Java\jdk1.8.0_281 set PATH%JAVA_HOME%\bin;%PATH%# Linux/macOS 临时切换 export JAVA_HOME/usr/lib/jvm/jdk1.8.0_281 export PATH$JAVA_HOME/bin:$PATH改完再启动 Tomcatendorsed 报错会消失。但这是权宜之计因为 JDK 8 迟早要淘汰而且你机器上如果装了高版本 JDK别的项目可能又需要它。方案 B迁移 endorsed 配置到高版本 JDK推荐核心动作有三个删掉启动脚本里的 endorsed 参数、把 endorsed 目录里的 jar 用别的方式引入、调整catalina.properties。第一步找到bin/catalina.batWindows或bin/catalina.shLinux搜索endorsed把这一行删掉或注释:: 删除或注释掉类似这一行 :: set JAVA_OPTS%JAVA_OPTS% -Djava.endorsed.dirs%CATALINA_HOME%\endorsed# Linux 下同样处理 # JAVA_OPTS$JAVA_OPTS -Djava.endorsed.dirs$CATALINA_HOME/endorsed第二步处理原来放在endorsed目录里的 jar。高版本 JDK 下这些 jar 应该通过 classpath 或模块路径引入。最简单的方式是放进lib目录Tomcat 会自动加载原路径%CATALINA_HOME%\endorsed\xercesImpl.jar 新路径%CATALINA_HOME%\lib\xercesImpl.jar如果你不想动lib也可以在setenv.bat里显式加到 classpath:: conf/setenv.bat没有就新建 set CATALINA_OPTS%CATALINA_OPTS% -cp %CATALINA_HOME%\endorsed\*第三步检查conf/catalina.properties。老版本里可能有server.loader或shared.loader指向 endorsed 相关路径高版本下要确认这些路径存在且不冲突# conf/catalina.properties 关键片段 # 确认 common.loader 包含 lib 目录 common.loader${catalina.base}/lib,${catalina.base}/lib/*.jar,${catalina.home}/lib,${catalina.home}/lib/*.jar # 如果有自定义 loader 指向 endorsed改成实际存在的路径或删掉 # shared.loader${catalina.base}/shared/classes,${catalina.base}/shared/lib/*.jarserver.xml 需要改吗大多数情况下不需要因为 endorsed 是 JVM 层参数不是 Connector 配置。但如果你在server.xml里配了自定义的Loader或Realm依赖了 endorsed 里的类就要检查!-- conf/server.xml 片段确认 Context 没有引用已删除的 endorsed 类 -- Context path/myapp docBasemyapp reloadablefalse !-- 不要在这里配 loader 指向 endorsed 目录 -- /Context关于模块化迁移的补充JDK 9 里如果你确实需要覆盖某个标准 API正确做法是用--upgrade-module-path指向新的模块 jar而不是 endorsed。但对绝大多数 Tomcat 应用来说直接删掉 endorsed 参数、把 jar 放 lib 就够了因为现代 Tomcat 版本已经不再依赖 endorsed 机制。改完记得清一次 Tomcat 的 work 目录避免旧编译缓存干扰rm -rf $CATALINA_HOME/work/*Windows 下就是删掉work文件夹里的内容。这一步很多人忘结果改了配置还是报老错。4. 验证请求确认接口调用正常配置改完Tomcat 能起来了接下来要验证接口是不是真的通。分两层先验证 Tomcat 本身再验证通过 TaoToken 的调用链路。第一层Tomcat 启动与本地接口启动 Tomcat看日志里有没有Server startup in xxx ms# Linux $CATALINA_HOME/bin/startup.sh tail -f $CATALINA_HOME/logs/catalina.out:: Windows %CATALINA_HOME%\bin\startup.bat如果启动时间从原来的 11000ms 降到 1400ms 左右说明类加载冲突基本解决了。然后访问一个本地接口curl -i http://localhost:8080/myapp/health返回 200 和预期内容说明 Tomcat 层没问题。第二层通过 TaoToken 验证外部调用这一步是确认你的应用在调用外部 API 时通道配置是否正确。用 curl 直接打 TaoToken 的接口curl https://taotoken.net/api/chat/completions \ -H Content-Type: application/json \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -d { model: your-model-id, messages: [{role: user, content: ping}] }如果返回正常的 JSON 结构说明 Key 和 Base URL 都对。如果返回 401就是 Key 问题返回 404多半是路径拼错连接超时检查网络出口。在 Java 应用里验证如果你用的是 OpenAI 兼容的 Java SDK配置大概是这样// 伪代码示意具体类名按你用的 SDK 调整 String baseUrl System.getenv(TAOTOKEN_BASE_URL); // https://taotoken.net/api String apiKey System.getenv(TAOTOKEN_API_KEY); // 用 baseUrl apiKey 初始化 client发一条测试消息环境变量在setenv.bat里注入:: conf/setenv.bat set TAOTOKEN_BASE_URLhttps://taotoken.net/api set TAOTOKEN_API_KEYsk-你的key成功结果的判断标准Tomcat 日志无 endorsed 报错、启动时间正常、本地接口 200、TaoToken 接口返回正常 JSON。四个都满足说明配置迁移和通道验证都过了。如果只想快速试模型对话直接用 https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 发一条消息比写代码快。5. 本篇常见错排查401、local proxy failed、reading choices改配置的过程中报错五花八门。这一节把最常见的几个列出来对照着查。报错一endorsed.dirs ... is not supported反复出现明明删了catalina.bat里的参数还是报。原因通常是JAVA_OPTS或CATALINA_OPTS在别的地方又被拼了一次。检查顺序catalina.bat→setenv.bat→ 系统环境变量JAVA_OPTS。三个地方都搜一遍endorsed。另外如果你用的是 IDE 内置 TomcatIDE 的 Run Configuration 里也可能有 VM options别忘了查。报错二401 UnauthorizedTaoToken 调用时Key 错了、过期了、或者没带上。检查Authorization头是不是Bearer sk-xxx格式中间有没有多余空格。如果 Key 是从控制台复制的确认没漏字符。API Keys 管理页在 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。报错三local proxy failed或连接被拒这类报错通常和本地网络配置有关。先确认TAOTOKEN_BASE_URL是不是写成了https://taotoken.net/api有没有多写斜杠或路径。然后用 curl 单独测一次排除是 Java 代码问题还是网络问题。如果 curl 通、Java 不通检查 Java 的 SSL 证书信任链尤其是老 JDK 可能不认新证书。报错四reading choices相关解析错误这通常出现在你调用模型接口后解析返回 JSON 时。报错形如Cannot read field choices或reading choices failed。原因一般是返回的不是预期 JSON可能是错误页 HTML或者你的解析代码假设了固定结构。先打印原始响应体确认返回内容。如果是 401/404 的错误 JSONchoices字段当然不存在。报错五OAuth相关如果你在配置某些 CLI 工具或 Agent 时看到 OAuth 报错先确认是不是把 API Key 模式和 OAuth 模式搞混了。TaoToken 的 API 调用用 Key 就行不需要 OAuth 流程。如果工具强制走 OAuth检查它的配置文件里 Base URL 和认证方式。报错六UnsupportedClassVersionError这个和 endorsed 无关是编译版本高于运行版本。比如用 JDK 17 编译用 JDK 8 运行。解决方法是统一版本或者用--release参数编译。CC Switch / Cline MCP / Codex auth.json 场景如果你在这些工具里配置 TaoToken记住三件套要写全——Base URL、Key、Model ID。缺一个都会报错。比如 Codex 的auth.json里Base URL 和 Key 要对应Cline 的 MCP 配置里Model ID 不能空。排查的核心思路先看报错关键词再定位是配置层还是代码层最后用 curl 做最小验证。别一上来就改代码。6. 迁移后的稳定接入把 Key 和通道固定下来配置改完、报错排完最后一步是让这套东西稳定下来别下次升级又踩一遍。第一把 JDK 版本和 Tomcat 版本的对应关系写进项目 README。比如“Tomcat 9 JDK 11 已验证endorsed 参数已移除”。这样新人接手不用重新踩坑。第二setenv.bat/setenv.sh里的环境变量用统一命名比如TAOTOKEN_BASE_URL、TAOTOKEN_API_KEY不要散落在多个脚本里。迁移服务器时只改这一个文件。第三如果你要做长期编码或 Agent 任务把 Coding Plan 的配置也固定下来https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。接入文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 里有完整的参数说明。第四Claude Code 这类工具的接入Base URL 填https://taotoken.net/apiKey 填控制台生成的Model ID 按文档选。三件套齐全基本不会出问题。相关配置参考 https://taotoken.net/claude-code?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。最后说个实际经验endorsed.dirs 这个问题本质是“老配置遇到新运行时”。与其每次升级都手动改不如在 CI 里加一个检查——启动 Tomcat 后 grep 日志里有没有endorsed或Could not create the Java Virtual Machine有就 fail。这样问题在流水线就暴露了不会带到生产。整套流程走下来你会发现真正花时间的不是改那行参数而是搞清楚“为什么改”和“改完怎么验证”。把 TaoToken 作为统一验证通道能让这个验证过程标准化换环境也不用重新配。
阅读完成 · 觉得有帮助？
