在构建和维护Web应用的过程中，安全问题总是我们最关心的话题之一。今天，我们要探讨的是一个经常被忽视的Web漏洞——未关闭或限制不必要的HTTP请求方法。

虽然我们在日常开发中主要使用 GET 和 POST 这两种请求方法，但像
PUT、DELETE、HEAD、OPTIONS 以及 TRACE
等其他方法的存在同样不容小觑。如果不加以适当控制，这些方法可能会成为潜在的安全隐患，比如被用于跨站追踪（XST）攻击、目录遍历攻击等。

一、漏洞描述

HTTP协议定义了多种请求方法，每种方法都有其用途。例如：

GET：获取资源
POST：提交数据
PUT：更新资源
DELETE：删除资源
HEAD：获取资源头部信息
OPTIONS：获取服务器支持的请求方法
TRACE：回显服务器收到的请求（用于调试）

在大多数Web项目中，我们通常只使用 GET 和 POST。如果服务器默认启用了其他方法（如 PUT、DELETE 等），而应用又没有进行限制，攻击者可能利用这些方法执行恶意操作。

二、解决方案详解

✅ 1. Tomcat 配置方式

在 Tomcat 中，我们可以通过修改 web.xml 文件来限制某些 HTTP 方法。具体配置如下：

<security-constraint><web-resource-collection><url-pattern>/*</url-pattern><http-method>PUT</http-method><http-method>DELETE</http-method><http-method>HEAD</http-method><http-method>OPTIONS</http-method><http-method>TRACE</http-method></web-resource-collection><auth-constraint><!-- 空表示不允许任何用户访问这些方法 --></auth-constraint>
</security-constraint>
<login-config><auth-method>BASIC</auth-method>
</login-config>

📌 配置说明：

<url-pattern>/*</url-pattern>：表示对所有路径生效。
<http-method>：列出你想要限制的HTTP方法。
<auth-constraint>：为空表示没有用户可以访问这些方法。
<login-config>：启用基本认证（可选，主要用于安全增强）。

修改后，重启 Tomcat 即可生效。

✅ 2. 使用 Nginx 限制请求方法

如果你的Web应用前面使用了 Nginx 作为反向代理，也可以通过 Nginx 来限制不安全的HTTP方法：

location / {if ($request_method ~ ^(PUT|DELETE|HEAD|OPTIONS|TRACE)$) {return 405;}
}

📌 配置说明：

使用 if 判断 $request_method，匹配到不安全的方法时返回 405 Method Not Allowed。
这种方式更适用于部署在Nginx后端的任何Web服务器（如 Tomcat、Node.js、Python 等）。

✅ 3. Java 代码中限制请求方法

可以通过过滤器的方式对方法进行过滤：

import org.springframework.stereotype.Component;
import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;@Component
public class HttpMethodRestrictionFilter implements Filter {// 可以允许的请求方法private static final String[] ALLOWED_METHODS = {"GET", "POST"};@Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)throws IOException, ServletException {HttpServletRequest httpRequest = (HttpServletRequest) request;HttpServletResponse httpResponse = (HttpServletResponse) response;String method = httpRequest.getMethod();// 判断是否是允许的方法boolean allowed = false;for (String allowedMethod : ALLOWED_METHODS) {if (allowedMethod.equalsIgnoreCase(method)) {allowed = true;break;}}if (!allowed) {// 方法不允许，返回 405 Method Not AllowedhttpResponse.sendError(HttpServletResponse.SC_METHOD_NOT_ALLOWED, "Method Not Allowed");return;}// 继续后续过滤器或请求处理chain.doFilter(request, response);}
}