AEM为何对无扩展名的请求返回403状态码？

这个问题其实涉及到AEM核心的安全设计和DefaultGetServlet的处理逻辑，我来给你拆解清楚：

• 安全防护优先的设计：AEM默认阻止无扩展名的请求，本质是一种安全防护机制。这类请求可能被恶意利用来尝试路径遍历、探测系统内部资源或者触发未预期的Servlet映射，返回403（禁止访问）是系统主动拒绝这种潜在风险的请求，而非单纯的“无法识别请求格式”（这才是400的场景）。

• DefaultGetServlet的渲染器匹配逻辑：你提到DefaultGetServlet会根据扩展名委托给对应渲染器，但当没有扩展名时，它无法确定要使用哪个渲染器来处理请求。不过更关键的是，AEM的资源解析流程在这种情况下会触发安全校验——系统认为无扩展名的请求属于“未明确授权的访问方式”，直接返回403，而不是尝试去猜测应该用哪个渲染器（避免引入更多安全漏洞）。

• 权限无关的全局限制：哪怕用admin用户访问也会返回403，因为这不是用户权限不足导致的，而是系统层面的全局安全配置。admin权限能让你访问受保护的资源，但无法绕过这种针对请求格式的安全拦截规则。

• 验证示例的逻辑：像http://localhost:4502/content/geometrixx/en/events.html能正常返回，是因为.html扩展名明确告诉DefaultGetServlet使用HtmlRenderer处理请求，符合系统允许的访问规则；而不带扩展名的请求触发了安全拦截，所以返回403。

如果需要允许无扩展名的请求，你可以通过修改OSGi配置（比如调整DefaultGetServlet的参数）或者配置Dispatcher规则来实现，但强烈建议评估安全风险后再操作，因为这会降低系统的安全防护等级。

内容的提问来源于stack exchange，提问作者Prashant Onkar