Docker部署Alfresco：Nginx反向代理拒浏览器PUT/DELETE请求报403

获取更详细的日志 #

• Nginx容器日志
  执行docker logs <nginx容器名称>查看历史日志，添加-f参数可实时追踪：docker logs -f <nginx容器名称>。若需要更细粒度的请求细节，修改Nginx配置的log_format，加入$request_body、$http_origin等字段，再执行docker exec <nginx容器名称> nginx -s reload重新加载配置。

• Alfresco容器日志
  查看Alfresco核心容器日志：docker logs <Alfresco容器名称>，同样用-f参数实时跟踪。Alfresco的详细运行日志存放在容器内/usr/local/tomcat/logs目录，可通过docker exec <Alfresco容器名称> tail -f /usr/local/tomcat/logs/catalina.out查看Tomcat的请求处理细节。

• Docker Compose聚合日志（若用Compose部署）
  执行docker-compose logs -f可同时查看所有关联容器的日志，便于追踪请求从Nginx到Alfresco的完整流转路径。

问题排查方向 #

对比Postman与浏览器请求的差异，从以下维度分析：

1. CORS配置缺失
   浏览器请求携带Origin: http://localhost:4200，Postman可能无此头或取值不同。检查Nginx是否配置了正确的CORS规则，允许PUT/DELETE方法及指定Origin：

   add_header Access-Control-Allow-Origin http://localhost:4200;
   add_header Access-Control-Allow-Methods GET, POST, PUT, DELETE, OPTIONS;
   add_header Access-Control-Allow-Headers Authorization, Content-Type;
   

   注意：需单独处理OPTIONS预检请求，避免被Nginx拦截：

   if ($request_method = OPTIONS) {
       return 204;
   }
   

2. CSRF防护未适配
   Alfresco默认启用CSRF防护，浏览器请求若未携带CSRF token会被拦截，而Postman可能绕过了该检查。确认Angular应用是否正确从Cookie中获取XSRF-TOKEN，并在请求头中设置X-XSRF-TOKEN。

3. 请求头参数差异
   对比Postman与Angular的请求头，比如Angular请求的Host为localhost:4200，Postman可能是localhost，需确保Nginx代理配置中proxy_set_header Host设置正确，例如proxy_set_header Host $host;或指向Alfresco容器的正确地址。

4. Nginx安全模块拦截
   检查Nginx是否启用mod_security等安全模块，可能误拦截了浏览器请求。查看Nginx错误日志：docker exec <nginx容器名称> cat /var/log/nginx/error.log，确认是否有拦截记录。

解决建议 #

1. 优先完善Nginx的CORS配置，确保覆盖PUT/DELETE方法及前端Origin，正确处理OPTIONS请求。
2. 在Angular中配置CSRF拦截器，自动携带token：

   import { HttpClientXsrfModule } from '@angular/common/http';
   
   @NgModule({
     imports: [
       HttpClientXsrfModule.withOptions({
         cookieName: 'XSRF-TOKEN',
         headerName: 'X-XSRF-TOKEN',
       }),
     ],
   })
   export class AppModule {}
   

3. 检查Nginx的proxy_pass配置，确保指向Alfresco容器的正确地址，例如proxy_pass http://alfresco:8080/;（假设Alfresco容器名为alfresco）。
4. 临时测试可修改Alfresco的alfresco-global.properties，设置csrf.filter.enabled=false（生产环境不建议），验证是否因CSRF规则导致拦截。

内容的提问来源于stack exchange，提问作者Fabio