[gelöst] Security Exception: HTTP Error 403

[Tode]

Hi zusammen, wenn mein Kollege eine xPage- DB Signed, dann kriegen wir auf der Konsole folgende Meldung:

Code

[0D8C:000A-0BE0] 16.01.2013 10:37:48   HTTP JVM: CLFAD0229E: Security exception occurred servicing request for: /database.nsf/home.xsp - HTTP Code: 403. For more detailed information, please consult error-log-0.xml located in D:/Lotus/Domino/data/domino/workspace/logs

Sobald ich das ganze signe funktioniert es.

ABER: Im Serverdokument sind in allen Security- Feldern nur Gruppen eingetragen, niemals Namen. Und er ist in den selben Gruppen wie ich.
Server ist 8.5.3FP2. englisch. compact -D names.nsf und updall -R names.nsf (runtergefahren) habe ich schon gemacht...

Hat jemand ne Ahnung was da schief geht?

[Sven Hasselbach]

Nur um das naheliegenste auszuschliesen:
Ist das generell so, also auch mir einer neu angelegten blanken DB (dann ist es ein administratives Problem) oder nur bei der einen Datenbank (dann hängt da wohl ein Designelement schief)?

[Tode]

Sehr guter Einwand... Werde ich gleich mal prüfen!

[m3]

Error 403 HTTP Web Server: You are forbidden to perform this operation

To avoid this problem, in the Symantec Mail Security settings database, disable the scanning of document writes.

Ev. ein Virenscanner?

Oder:

Error 403 - You are forbidden to perform this operation

In addition to the HTTP error code, an error message may be recorded in the log file:
HTTP JVM: CLFAD0229E: Security exception occurred servicing request for: /<database name>.nsf/<XPage name>.xsp.

The ID that was used to create or sign the XPage you are attempting to access may not have
sufficient rights on the server.

Ensure that the XPage is signed by an ID that, depending on the level of access that you want this user to have, is listed in either the "Sign or run unrestricted methods and operations" or "Sign agents or XPages to run on behalf of the invoker" fields (Server Document --> Security tab).

One way to test to see if insufficient rights may be causing the problem is to sign the XPages generating the error with the server's ID. The server ID should have "Sign or run unrestricted methods and operations" rights by default (with no entry in the Server Document). A quick way to sign all design elements in an application with the Server's ID is to:

    1. Launch your Administrator Client and switch to the Files tab.
    2. Locate the XPages database that is generating the error and click to select it.
    3. Under the Tools panel, select Database --> Sign.
    4. Choose to sign all design documents with the active server's ID.

http://www-01.ibm.com/support/docview.wss?uid=swg21327868

[Tode]

Wollte mal eine Rückmeldung geben: Das signen mit einer anderen ID / der Server- ID war bis heute unser Workaround. Heute wollte ich aber genau wissen was passiert.
Also:

Leere Datenbank angelegt, nur 1 xPage und 1 jss aus dem betroffenen Template rüberkopiert unter beibehaltung der Vererbung.
- Nach dem kopieren direkt probiert -> Funktioniert (hat durch das kopieren ja meine Signatur)
- Design refresh -> Signatur wird wieder überschrieben -> Fehler...
- Die beiden Elemente abwechselnd signiert... immer erst wenn beide mit meiner ID signiert waren hat es funktioniert
- Einen weiteren Kollegen, der erst seit kurzem bei uns ist, gebeten, die Elemente zu signieren -> Funktioniert (Hääää ?)
- Den ersten Kollegen gebeten, die Elemente wieder mit seiner ID zu signen...
  >>> FUNKTIONIERT IMMER NOCH...
- Design Update aus Schablone -> geht wieder nicht mehr...

Der Kollege hat dann die Elemente in der Schablone nochmal signiert... Und nach einem Design- Update hat alles funktioniert

Verstehen kann ich das nicht, aber ich habe eine mögliche Erklärung:
Der Kollege hat bis vor kurzem noch den 8.5.2er Client benutzt und mit diesem
die Elemente gespeichert... Alle anderen benutzen 8.5.3.
Jetzt hat der Kollege aber auch 8.5.3.

u.U. gab es da einfach eine Inkompatibilität bei den gespeicherten Daten...

Egal: Problem ist gelöst lässt aber Vertrauen in die xPages weiter schwinden...
Wenn es nun schon eine Rolle spielt, mit welcher Client- Version (3. Stelle) man ein Design- Element signiert,
dann will mir das nicht mehr wirklich Spass machen...


DANKE für alle Tipps

[Sven Hasselbach]

Hört sich für mich ehrlich gesagt nur nach einem fehlerhaften Template bzw. fehlerhaften Signaturen innerhalb des Templates an. Und anscheinend hat sich ja auch alles durch ein sauberes Signieren* des Templates ergeben...

Ich würde daher nicht an den XPages zweifeln, sondern eher an dem Client des besagten Kollegen. Hat er denn einen neuen Workspace angelegt, als er auf den 8.5.3er Client gewechselt ist (ggf. ein Caching-Problem)? Oder hat sich seine Build-Einstellung geändert? Oder irgendeine anders geartete Änderung?

Wenn es eine Inkompatibität mit 8.5.2 gäbe, ließe sich das doch sofort nachstellen: Einfach den 8.5.2er Client starten, das Template signieren und dann mit 8.5.3 einen Designrefresh machen. Dann müssten die Signaturen ja wieder fehlerhaft sein!? Da mir davon absolut nichts bekannt ist, wäre es sehr interessant zu hören, ob das zu reproduzieren ist. Auch um die Checkliste für Notes 9.0 zu erweitern.

*: komplettes Signieren des Templates, nicht nur einzelner Design-Elemente

[Tode]

Diesen Test haben wir natürlich gemacht, und konnten den Fehler -leider- nicht reproduzieren... Also mit 8.5.2 signiert und dann Design refresh : alles ok.

Aber auch wenn die Ursache jetzt nicht bei den xPages direkt lag, dann waren es doch die Auswirkungen, die nur in den xPages sichtbar wurden...

Danke trotzdem fürs Feedback

[flaite]

Interessant. Jemand in eurer Community sollte den wahren Gründen solcher Dinge hinterhergehen.
Ich tippe auf den Build-Prozess in Eclipse. Ich selbst seh da in komplexeren Java-Web Projekten ohne Maven insbesondere wenn gewisse Spasten mit Entscheidungskompetenz auf die erstaunlich beliebte Idee verfallen, man müßte da irgendwelche externen Laufwerke einklinken, viele Probleme, weiss aber wo mühsam nachverfolgen, wenn nicht tut wie soll, ohne dass auch nur eine rudimentäre Fehlermeldung erscheint. Dank gewisser informativer Blogbeiträge, deren url ich nicht hab, deren Inhalt ich aber gespeichert hab.

[Sven Hasselbach]

Dank gewisser informativer Blogbeiträge, deren url ich nicht hab, deren Inhalt ich aber gespeichert hab.

Also ich druck die immer aus. Das ist viel praktischer.

[flaite]

F. fotograf. gedächtnis hab ich die chinesische Schrift erlernt. 
war natürlich ein joke.