ArcGIS Maps SDK for JavaScript 4.x：安全FeatureLayer的Token传递问题

针对你从3.x迁移到4.x时遇到的独立Token认证问题，给你两个可行的实现方案：

方案一：修正IdentityManager的配置 #

你之前用IdentityManager.registerToken没生效，大概率是server参数的路径不匹配。ArcGIS的IdentityManager会根据请求的URL前缀去匹配已注册的token，所以必须确保server值是你FeatureLayer服务的根路径（去掉图层编号的部分）。

比如你的FeatureLayer完整URL是https://example.com/bar/rest/services/MyMap/MapServer/1，那server应该设为https://example.com/bar/rest/services/MyMap/MapServer，而不是上层的services目录。如果你的token是针对整个services下的所有服务生成的，也可以设为https://example.com/bar/rest/services，但更精准的路径匹配成功率更高。

另外如果你的token有有效期，最好加上expiration参数（毫秒时间戳），避免SDK认为token已过期：

// 注册token
IdentityManager.registerToken({
  server: "https://example.com/bar/rest/services/MyMap/MapServer",
  token: "你的独立生成的token字符串",
  expiration: 1728000000 // 可选，token过期时间的毫秒时间戳
});

// 正常创建FeatureLayer
const protectedLayer = new FeatureLayer({
  url: "https://example.com/bar/rest/services/MyMap/MapServer/1"
});

配置完成后，SDK会自动给该服务的所有请求带上X-Esri-Authentication头，不用手动处理。

方案二：用EsriRequest全局拦截器强制加请求头 #

如果IdentityManager的匹配逻辑还是不符合你的场景，直接用EsriRequest的拦截器给指定服务的请求加头是更稳妥的方式。因为ArcGIS JS 4.x所有内部请求都是通过EsriRequest发送的，拦截器可以全局控制请求头：

import EsriRequest from "@arcgis/core/request";

// 添加全局请求拦截器
EsriRequest.interceptors.push({
  before: (params) => {
    // 只给目标服务的请求加头，避免影响其他请求
    if (params.url.startsWith("https://example.com/bar/rest/services")) {
      params.requestOptions.headers = params.requestOptions.headers || {};
      params.requestOptions.headers["X-Esri-Authentication"] = `Bearer ${你的token字符串}`;
    }
    return params;
  }
});

// 正常初始化FeatureLayer
const protectedLayer = new FeatureLayer({
  url: "https://example.com/bar/rest/services/MyMap/MapServer/1"
});

这种方式不需要依赖IdentityManager的匹配规则，直接针对目标服务路径添加认证头，适合独立生成token的场景。

排查注意事项 #

• 用浏览器开发者工具的Network面板查看请求，确认X-Esri-Authentication头是否已添加，以及token是否正确。
• 确保你的ArcGIS Server已配置CORS，允许前端域名访问，并且允许携带X-Esri-Authentication自定义头。
• 验证token的有效性：可以直接在浏览器访问服务URL并带上?token=你的token，确认能正常返回服务元数据。

内容的提问来源于stack exchange，提问作者jhilgeman