Alfresco Community 7.3(Docker部署)PUT/DELETE请求返回403 Forbidden问题

问题背景 #

我通过Docker部署了Alfresco Community 7.3，基于Angular开发前端应用，后端使用Tomcat服务器。执行PUT或DELETE HTTP请求时，服务器返回错误："status: 403, statusText: 'Forbidden'"。

删除文档的示例代码：

sAlfEliminaFile(ticket: string, idFile: string){
    const headers = new HttpHeaders({
      'Authorization': 'Basic ' + btoa(ticket),
    });

    return this.http.delete('/alfrescoapi/-default-/public/alfresco/versions/1/nodes/22f98143-eb5e-48f0-8c40-4534c1fe73d1', {headers : headers })
  }

为解决CORS问题配置的代理参数：

{
    "/alfrescoapi": {
      "target": "http://localhost/alfresco",
      "secure": false,
      "pathRewrite": {
        "^/alfrescoapi": "/api"
      },
      "changeOrigin": true
    }
} 

已尝试将changeOrigin改为false无效，且确认凭证（包括admin凭证）正确，仍出现403错误。

解决步骤 #

1. 处理Alfresco的CSRF防护 #

Alfresco默认启用CSRF防护，PUT/DELETE这类修改请求必须携带CSRF令牌：

• 先通过GET请求/alfrescoapi/-default-/public/alfresco/versions/1/people/me获取CSRF令牌，响应头中的X-Alfresco-CSRF-Token字段即为所需值。
• 在PUT/DELETE请求的headers中添加该令牌，修改后的代码示例：

sAlfEliminaFile(ticket: string, idFile: string, csrfToken: string){
    const headers = new HttpHeaders({
      'Authorization': 'Basic ' + btoa(ticket),
      'X-Alfresco-CSRF-Token': csrfToken
    });

    return this.http.delete('/alfrescoapi/-default-/public/alfresco/versions/1/nodes/' + idFile, {headers : headers })
  }

2. 验证用户权限配置 #

• 确认当前ticket对应的用户（包括admin）是否拥有目标节点的删除/修改权限，可通过Alfresco管理控制台手动操作该节点，排查权限问题。
• 检查Alfresco API端点的权限配置，确保/nodes/{nodeId}的DELETE/PUT方法对当前用户开放。

3. 优化Angular代理配置 #

确保代理完整转发请求头，可添加onProxyReq钩子：

{
    "/alfrescoapi": {
      "target": "http://localhost/alfresco",
      "secure": false,
      "pathRewrite": {
        "^/alfrescoapi": "/api"
      },
      "changeOrigin": true,
      "onProxyReq": function(proxyReq, req, res) {
        Object.keys(req.headers).forEach(function(key) {
          proxyReq.setHeader(key, req.headers[key]);
        });
      }
    }
} 

4. 调整Docker环境的Alfresco CORS参数 #

通过环境变量修改Alfresco的CORS配置：

• 给Alfresco容器添加环境变量ALFRESCO_CORS_ALLOWED_METHODS: "GET,POST,PUT,DELETE,OPTIONS"，开放所有必要的HTTP方法。
• 设置ALFRESCO_CORS_ALLOWED_ORIGINS为前端应用的域名（如http://localhost:4200）。

5. 排查OPTIONS预检请求 #

浏览器会对PUT/DELETE发送OPTIONS预检请求，需确保：

• 代理正确转发OPTIONS请求到Alfresco。
• Alfresco返回200状态码，且响应头包含Access-Control-Allow-Methods、Access-Control-Allow-Headers等必要字段。

内容的提问来源于stack exchange，提问作者Fabio