HTTP动词篡改解决方案

Question

HTTP动词配置错误： 您能否告诉我们如何在Web应用程序中实现GET和POST方法时防止HTTP动词篡改Web应用程序。

Answer 1

有一个由Open Web Application Security Project维护的关于HTTP动词篡改测试的页面here。基本上，您使用实用程序使用每种方法（a.k.a. verb）发送请求，并检查请求是否安全处理。该页面的要点是：

尽管每个HTTP方法都可能返回不同的结果，但除GET和POST之外的所有方法只有一个有效结果。 Web服务器应该完全忽略该请求或返回错误。任何其他响应表明测试失败，因为服务器正在响应不必要的方法/动词。这些方法应该被禁用。