Springboot怎么使用内置tomcat禁止不安全HTTP

魁首哥

作者

Springboot怎么使用内置tomcat禁止不安全HTTP

本文小编为大家详细介绍“Springboot怎么使用内置tomcat禁止不安全HTTP”，内容详细，步骤清晰，细节处理妥当，希望这篇“Springboot怎么使用内置tomcat禁止不安全HTTP”文章能帮助大家解决疑惑，下面跟着小编的思路慢慢深入，一起来学习新知识吧。

Springboot 内置tomcat禁止不安全HTTP方法

1、在tomcat的web.xml中可以配置如下内容

让tomcat禁止不安全的HTTP方法

Springboot怎么使用内置tomcat禁止不安全HTTP

<security-constraint><web-resource-collection><url-pattern>/*</url-pattern><http-method>PUT</http-method><http-method>DELETE</http-method><http-method>HEAD</http-method><http-method>OPTIONS</http-method><http-method>TRACE</http-method></web-resource-collection><auth-constraint></auth-constraint></security-constraint><login-config><auth-method>BASIC</auth-method></login-config>

2、Spring boot使用内置tomcat

没有web.xml配置文件，可以通过以下配置进行，简单来说就是要注入到Spring容器中

@ConfigurationpublicclassTomcatConfig{@BeanpublicEmbeddedServletContainerFactoryservletContainer(){TomcatEmbeddedServletContainerFactorytomcatServletContainerFactory=newTomcatEmbeddedServletContainerFactory();tomcatServletContainerFactory.addContextCustomizers(newTomcatContextCustomizer(){@Overridepublicvoidcustomize(Contextcontext){SecurityConstraintconstraint=newSecurityConstraint();SecurityCollectioncollection=newSecurityCollection();//http方法collection.addMethod("PUT");collection.addMethod("DELETE");collection.addMethod("HEAD");collection.addMethod("OPTIONS");collection.addMethod("TRACE");//url匹配表达式collection.addPattern("/*");constraint.addCollection(collection);constraint.setAuthConstraint(true);context.addConstraint(constraint);//设置使用httpOnlycontext.setUseHttpOnly(true);}});returntomcatServletContainerFactory;}}

启用不安全的HTTP方法

问题描述：

可能会在Web服务器上上载、修改或删除Web页面、脚本和文件。

"启用了不安全的HTTP方法：OPTIONS /system HTTP/1.1Allow: HEAD, PUT, DELETE, TRACE, OPTIONS, PATCH

上述方法的用途：

Options、Head、Trace：主要由应用程序来发现和跟踪服务器支持和网络行为；
Get：检索文档；
Put和Post：将文档提交到服务器；
Delete：销毁资源或集合；
Mkcol：创建集合
PropFind和PropPatch：针对资源和集合检索和设置属性；
Copy和Move：管理命名空间上下文中的集合和资源；
Lock和Unlock：改写保护

很显然上述操作明细可以对web服务器进行上传、修改、删除等操作，对服务造成威胁。虽然WebDAV有权限控制但是网上一搜还是一大堆的攻击方法，所以如果不需要这些方法还是建议直接屏蔽就好了。

解决方案：

在web应用中的web.xml加上如下内容

<security-constraint><web-resource-collection><web-resource-name>disp</web-resource-name><url-pattern>/*</url-pattern><http-method>PUT</http-method><http-method>DELETE</http-method><http-method>HEAD</http-method><http-method>OPTIONS</http-method><http-method>TRACE</http-method><http-method>PATCH</http-method></web-resource-collection><auth-constraint></auth-constraint></security-constraint>