java - 如何在 Payara Server 中禁用 HTTP OPTIONS 方法？

Question

我正在使用网络安全分析工具:Acunetix。当我扫描它时，它显示 HTTP“OPTIONS 已启用”。我对此进行了研发，然后我知道我们需要禁用“Web Server 中的 OPTIONS 方法”。我正在使用 Payara Server(版本 4.1.1.171.1)，但没有得到任何禁用它的方法。谁能帮帮我？

Answer 1

您在每个 Web 应用程序的部署描述符 (web.xml) 中启用和/或禁用 HTTP 方法。您使用在 section 13.8 of the Servlet Specification 中正式指定的安全约束，因此下面描述的方法并不特定于 Payara，而是适用于任何支持 servlet 的应用程序服务器。

最安全(即最安全)的做法不是专门禁用某些 HTTP 方法，例如 OPTIONS(如 OP 中所述)，而是默认排除所有 HTTP 方法，并仅指定允许使用的 HTTP 方法.这是来自 Java EE 7 tutorial 的示例:

The simplest way to ensure that you deny all HTTP methods except those that you want to be permitted is to use http-method-omission elements to omit those HTTP methods from the security constraint, and also to define an auth-constraint that names no roles. The security constraint will apply to all methods except those that were named in the omissions, and the constraint will apply only to the resources matched by the patterns in the constraint.

For example, the following constraint excludes access to all methods except GET and POST at the resources matched by the pattern /company/*:

<!-- SECURITY CONSTRAINT #5 -->
<security-constraint>
<display-name>Deny all HTTP methods except GET and POST</display-name>
<web-resource-collection>
    <url-pattern>/company/*</url-pattern>
    <http-method-omission>GET</http-method-omission>
    <http-method-omission>POST</http-method-omission>
</web-resource-collection>
<auth-constraint/>
</security-constraint>

您正在使用支持 EE 7 的 Payara 4.1，因此请查看标题为 Securing HTTP Resources 的部分在 Java EE7 教程中了解有关如何执行此操作的完整详细信息。

Servlet Specification Version 3.1 的第 13.8.2 节还有一个很详细的例子。