Orbeon Forms基础认证配置求助：访问指定路径报403错误

1. 先搞定Tomcat容器级认证 #

1.1 添加认证用户 #

打开Tomcat的conf/tomcat-users.xml，在<tomcat-users>标签里添加带角色的用户，Orbeon默认识别orbeon-admin和orbeon-user这两个角色，示例：

<user username="admin" password="admin123" roles="orbeon-admin, orbeon-user"/>
<user username="normal-user" password="user123" roles="orbeon-user"/>

1.2 配置Orbeon应用的安全约束 #

找到Tomcat下webapps/orbeon/WEB-INF/web.xml，添加以下配置：

安全约束（保护需要认证的路径）

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Orbeon Protected Pages</web-resource-name>
        <url-pattern>/orbeon/*</url-pattern>
        <url-pattern>/fr/orbeon/builder/*</url-pattern>
        <url-pattern>/fr/orbeon/control-panel/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>orbeon-user</role-name>
        <role-name>orbeon-admin</role-name>
    </auth-constraint>
</security-constraint>

登录配置（开启基础认证，自动弹出登录框）

<login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>Orbeon Login</realm-name>
</login-config>

声明安全角色

<security-role>
    <role-name>orbeon-user</role-name>
</security-role>
<security-role>
    <role-name>orbeon-admin</role-name>
</security-role>

2. 配置Orbeon自身的权限规则 #

打开Orbeon的WEB-INF/resources/config/properties-local.xml，添加以下属性：

2.1 启用容器认证 #

<property as="xs:string" name="oxf.fr.authentication.method" value="container"/>
<property as="xs:string" name="oxf.fr.authentication.container.username" value="REMOTE_USER"/>
<property as="xs:string" name="oxf.fr.authentication.container.roles" value="orbeon-user, orbeon-admin"/>

这一步是告诉Orbeon直接使用Tomcat的认证结果，无需自身再处理认证逻辑。

2.2 配置Builder和管理区的权限 #

<!-- 允许admin角色访问表单构建器 -->
<property as="xs:string" name="oxf.fr.permission.orbeon-builder.*.*" value="owner-group/orbeon-admin"/>
<!-- 允许admin角色访问控制面板 -->
<property as="xs:string" name="oxf.fr.permission.orbeon-control-panel.*.*" value="owner-group/orbeon-admin"/>
<!-- 普通用户仅能访问自己创建的表单 -->
<property as="xs:string" name="oxf.fr.permission.*.*" value="owner"/>

3. 解决403错误的必查项 #

• 角色名必须完全匹配：tomcat-users.xml里的角色和web.xml、properties-local.xml里的角色名大小写一致，不能有拼写错误
• 确认properties-local.xml里oxf.fr.authentication.method的值是container，不要设为其他值
• 检查web.xml的url-pattern是否覆盖了/fr/orbeon/builder/*，遗漏路径会导致权限拦截
• 修改配置后必须重启Tomcat，同时清除浏览器缓存再测试，避免旧会话干扰
• 查看Tomcat的logs/catalina.out日志，寻找认证相关的报错信息（比如角色不匹配提示）

4. 测试流程 #

1. 重启Tomcat服务器
2. 访问http://localhost:8080/orbeon，浏览器会自动弹出基础认证登录框
3. 使用admin账号登录，可正常访问表单构建器和控制面板
4. 使用普通用户账号登录，仅能访问自己创建的表单，无法进入表单构建器（按上述权限配置）

内容的提问来源于stack exchange，提问作者Yinka Adeniyi