HTTP動詞篡改解決方案

Question

HTTP動詞配置錯誤： 您能否告訴我們如何在Web應用程序中實現GET和POST方法時防止HTTP動詞篡改Web應用程序。

Answer 1

有一個由Open Web Application Security Project維護的關於HTTP動詞篡改測試的頁面here。基本上，您使用實用程序使用每種方法（a.k.a. verb）發送請求，並檢查請求是否安全處理。該頁面的要點是：

儘管每個HTTP方法都可能返回不同的結果，但除GET和POST之外的所有方法只有一個有效結果。 Web服務器應該完全忽略該請求或返回錯誤。任何其他響應表明測試失敗，因爲服務器正在響應不必要的方法/動詞。這些方法應該被禁用。