Xpages中dojo.js、xspClientdojo.js加载失败403错误求助

你遇到的问题大概率是FP9相对于FP8在安全控制上的强化导致的——尤其是针对匿名用户和静态资源的访问权限校验。结合你自定义登录、用session-scope存储会话的场景，我整理了几个排查和解决方向：

• 先确认应用ACL的匿名用户权限
  检查XPages应用的ACL，确保Anonymous用户至少拥有Reader权限，并且“Web Access”设置为Allowed。FP9对匿名用户访问应用内核心资源的权限校验更严格，如果Anonymous用户权限不足，会直接拦截dojo.js这类资源的请求。另外也要确认数据库属性里的“Web Access”允许匿名访问。

• 检查xsp.properties中的安全配置
  打开应用的xsp.properties文件，核对几个关键参数：

  • 确保xsp.security.allowAnonymousAccess=true（默认是true，但如果被修改过会直接引发问题）；
  • 如果启用了内容安全策略（CSP），即xsp.security.csp.enabled=true，需要添加规则允许加载Dojo资源，比如补充script-src 'self'；
  • 可以临时关闭xsp.resources.aggregate（资源聚合功能），看是否是聚合后的资源文件被拦截，这能快速定位是单个资源还是聚合资源的权限问题。

• 调整自定义登录的会话初始化时机
  FP9中匿名用户的session创建逻辑有变化，如果你自定义登录的会话初始化发生在Dojo资源加载之后，服务器会把资源请求判定为未授权的匿名请求而拦截。可以尝试在应用的beforePageLoad全局事件中提前初始化session-scope的必要标识（比如设置一个自定义的用户状态标记），确保服务器处理资源请求时能识别到这是经过授权的匿名用户。

• 验证服务器的Internet站点配置
  登录客户的FP9服务器，打开「配置 -> Web -> Internet站点」对应的站点文档：

  • 在“资源”标签下，检查是否对/xsp/.ibmxspres/路径设置了访问限制，确保允许匿名用户访问该路径下的所有资源；
  • 查看“安全”标签的“HTTP访问控制”设置，是否启用了过于严格的规则（比如阻止匿名用户访问静态文件）。

• 查看服务器日志定位具体原因
  一定要查看Domino服务器的HTTP日志（domino/html/logs目录下的access.log和error.log）或者控制台输出。403错误的日志会明确说明是ACL拦截、权限不足还是安全策略阻止，这能帮你快速缩小排查范围。

按这个顺序排查，基本能定位到问题——FP9的安全强化主要集中在资源访问和身份校验上，这类问题大多和权限配置或会话初始化时机有关。

内容的提问来源于stack exchange，提问作者Ajit Hogade