Orbeon配置需求：按表单灵活控制Authorization Header转发及认证

针对你的单实例Orbeon配置需求，我给你一套更优雅的解决方案，既能实现Form Runner的「可选认证」（带Authorization头就走认证流程，没带就匿名访问），又能干净控制草稿功能的显示：

1. 调整表单级别的认证规则，实现部分表单匿名访问 #

你的全局配置现在强制所有Form Runner请求都得带Authorization头，所以无认证时会返回401。咱们可以通过表单级别的属性覆盖，让指定表单允许匿名访问，同时保留其他表单的认证要求：

修改你的properties-local-prod.xml：

<!-- 全局默认：所有Form Runner表单需要通过Authorization头认证 -->
<property as="xs:string" name="oxf.fr.authentication.method" value="header"/>
<!-- 全局开启头转发，已有配置保留即可 -->
<property as="xs:string" name="oxf.http.forward-headers" value="Authorization"/>
<property as="xs:string" name="oxf.xforms.forward-submission-headers" value="Authorization token allowDraft"/>

<!-- 针对需要匿名访问的表单，允许匿名（替换成你的app和form名称） -->
<!-- 格式：oxf.fr.authentication.allow-anonymous.[app-name].[form-name] -->
<property as="xs:boolean" name="oxf.fr.authentication.allow-anonymous.my-public-app.my-public-form" value="true"/>
<!-- 可以添加多个这样的属性，覆盖所有需要公开的表单 -->
<property as="xs:boolean" name="oxf.fr.authentication.allow-anonymous.another-app.another-public-form" value="true"/>

这样配置后：

• 未配置allow-anonymous的表单：必须带Authorization头，否则返回401（符合你的认证需求）
• 配置了allow-anonymous的表单：无论有没有Authorization头都能访问——有头则以认证用户身份加载，无头则匿名加载

2. 优雅控制草稿功能的显示/隐藏 #

你之前用JavaScript实现草稿按钮的显示控制，其实完全可以用Orbeon内置的XPath函数xxf:is-user-authenticated()来实现，不需要JS，更原生稳定：

在Form Builder中编辑表单时，找到草稿按钮（或者你用来触发草稿保存的组件），设置它的可见性条件为：

xxf:is-user-authenticated()

具体操作步骤：

1. 选中草稿按钮组件
2. 在右侧属性面板中找到「可见性」选项
3. 选择「基于表达式」，输入上述XPath表达式

这样，认证用户（带Authorization头）会自动看到草稿按钮，匿名用户则自动隐藏，比JS方案更可靠。

3. 验证Builder的头转发有效性 #

你的全局oxf.http.forward-headers已经包含了Authorization，所以Builder的所有请求都会自动转发这个头，不需要额外配置——毕竟Builder本身是需要认证才能访问的，而你的现有配置已经运行正常，这部分保持原样就行。

额外小技巧 #

如果有大量公开表单，不想逐个配置allow-anonymous，可以用通配符匹配整个应用：

<!-- 允许my-public-app下的所有表单匿名访问 -->
<property as="xs:boolean" name="oxf.fr.authentication.allow-anonymous.my-public-app.*" value="true"/>

另外要注意，确保Spring网关不会拦截这些公开表单的请求，如果网关有全局认证规则，记得给这些表单的路径添加放行规则。

内容的提问来源于stack exchange，提问作者m4gic