Springboot 内置tomcat禁止不安全HTTP方法
1、在tomcat的web.xml中可以配置如下内容
让tomcat禁止不安全的HTTP方法
/* PUT DELETE HEAD OPTIONS TRACE BASIC
登录后复制
2、Spring boot使用内置tomcat
没有web.xml配置文件，可以通过以下配置进行，简单来说就是要注入到Spring容器中
@Configurationpublic class TomcatConfig { @Bean public EmbeddedServletContainerFactory servletContainer() { TomcatEmbeddedServletContainerFactory tomcatServletContainerFactory = new TomcatEmbeddedServletContainerFactory(); tomcatServletContainerFactory.addContextCustomizers(new TomcatContextCustomizer(){ @Override public void customize(Context context) { SecurityConstraint constraint = new SecurityConstraint(); SecurityCollection collection = new SecurityCollection(); //http方法 collection.addMethod("PUT"); collection.addMethod("DELETE"); collection.addMethod("HEAD"); collection.addMethod("OPTIONS"); collection.addMethod("TRACE"); //url匹配表达式 collection.addPattern("/*"); constraint.addCollection(collection); constraint.setAuthConstraint(true); context.addConstraint(constraint ); //设置使用httpOnly context.setUseHttpOnly(true); } }); return tomcatServletContainerFactory; } }
登录后复制
启用不安全的HTTP方法
问题描述：
可能会在Web服务器上上载、修改或删除Web页面、脚本和文件。
“启用了不安全的HTTP方法：OPTIONS /system HTTP/1.1Allow: HEAD, PUT, DELETE, TRACE, OPTIONS, PATCH
上述方法的用途：
options、head、trace：主要由应用程序来发现和跟踪服务器支持和网络行为；
Get：检索文档；
Put和Post：将文档提交到服务器；
Delete：销毁资源或集合；
Mkcol：创建集合
PropFind和PropPatch：针对资源和集合检索和设置属性；
Copy和Move：管理命名空间上下文中的集合和资源；
Lock和Unlock：改写保护
很显然上述操作明细可以对web服务器进行上传、修改、删除等操作，对服务造成威胁。虽然WebDAV有权限控制但是网上一搜还是一大堆的攻击方法，所以如果不需要这些方法还是建议直接屏蔽就好了。
解决方案：
在web应用中的web.xml加上如下内容
disp /* PUT DELETE HEAD OPTIONS TRACE PATCH
登录后复制
标签介绍：
用于限制对资源的访问；
用于限制那些角色可以访问资源，这里设置为空就是禁止所有角色用户访问；
指定需要验证的资源
指定那些方法需要验证
以上就是Springboot怎么使用内置tomcat禁止不安全HTTP的详细内容，更多请关注【创想鸟】其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至253000106@qq.com举报，一经查实，本站将立刻删除。
发布者：PHP中文网，转转请注明出处：https://www.chuangxiangniao.com/p/2603414.html
