Orbeon仅暴露已创建表单URL的安全配置咨询

要在不暴露Form Builder/Form Runner管理功能的前提下公开表单，需结合防火墙路径过滤和Orbeon内部权限配置两步实现：

一、防火墙需开放的精准路径 #

仅开放表单加载和交互必需的资源，拒绝所有后台管理路径：

• 表单访问入口：
  • https://publicaddress/fr/ELO/ELOPreSales/new（你的目标表单）
  • 扩展支持编辑/查看：https://publicaddress/fr/ELO/ELOPreSales/edit/*、https://publicaddress/fr/ELO/ELOPreSales/view/*
• Form Runner公共资源（样式、主题、图片）：
  • https://publicaddress/fr/style/*
  • https://publicaddress/fr/theme/*
  • https://publicaddress/fr/images/*
• XForms交互核心端点：
  • https://publicaddress/orbeon/xforms-server/*
• Orbeon框架静态资源（控件渲染必需）：
  • https://publicaddress/orbeon/css/*
  • https://publicaddress/orbeon/js/*
  • https://publicaddress/orbeon/images/*

二、Orbeon内部权限锁死后台访问 #

即使防火墙漏过部分路径，通过Orbeon配置确保匿名用户无法访问管理功能：
在Orbeon的properties-local.xml中添加以下配置：

<!-- 配置容器认证（适配你的环境） -->
<property as="xs:string" name="oxf.fr.authentication.method" value="container"/>

<!-- 允许匿名用户访问指定的ELO/ELOPreSales表单 -->
<property as="xs:string" name="oxf.fr.permission.ELO.ELOPreSales.create" value="anonymous"/>
<property as="xs:string" name="oxf.fr.permission.ELO.ELOPreSales.read" value="anonymous"/>
<property as="xs:string" name="oxf.fr.permission.ELO.ELOPreSales.update" value="anonymous"/>

<!-- 拒绝匿名访问Form Builder及其他管理表单 -->
<property as="xs:string" name="oxf.fr.permission.orbeon.builder.*" value="deny"/>
<property as="xs:string" name="oxf.fr.permission.orbeon.fr.*" value="deny"/>
<property as="xs:string" name="oxf.fr.permission.orbeon.manager.*" value="deny"/>

三、验证方案有效性 #

1. 访问目标表单https://publicaddress/fr/ELO/ELOPreSales/new，确认所有控件加载正常、交互功能可用
2. 尝试访问Form Builder路径https://publicaddress/fr/orbeon/builder/new，应返回权限拒绝或403错误

内容的提问来源于stack exchange，提问作者xtian