HTTP Methods

简介

　　HTTP 定义了一组请求方法，以表明要对给定资源执行的操作。指示针对给定资源要执行的期望动作， 虽然他们也可以是名词，但这些请求方法有时被称为HTTP动词。每一个请求方法都实现了不同的语义，但一些共同的特征由一组共享。

方法	说明
GET	GET方法请求一个指定资源的表示形式. 使用GET的请求应该只被用于获取数据。
HEAD	HEAD方法请求一个与GET请求的响应相同的响应，但没有响应体。
POST	POST方法用于将实体提交到指定的资源，通常导致状态或服务器上的副作用的更改。
PUT	PUT方法用请求有效载荷替换目标资源的所有当前表示。
DELETE	DELETE方法删除指定的资源。
CONNECT	CONNECT方法建立一个到由目标资源标识的服务器的隧道。
OPTIONS	OPTIONS方法用于描述目标资源的通信选项。
TRACE	TRACE方法沿着到目标资源的路径执行一个消息环回测试。
PATCH	PATCH方法用于对资源应用部分修改。

　　上述HTTP方法中，可能会产生较大威胁的是PUT和DELETE方法，可以在目标系统上创建和删除文件。

Tomcat配置

　　一般而言，GET和POST方法是被启用的，而想PUT、DELETE等不太安全的方法应该禁用。

启用不安全的HTTP方法

　　Step 1： 在配置文件./conf/web.xml，Filter Mappings处，添加如下配置

<!-- ==================== Built In Filter Mappings ====================== -->
<filter>
    <filter-name>CorsFilter</filter-name>
    <filter-class>org.apache.catalina.filters.CorsFilter</filter-class>
    <init-param>
        <param-name>cors.allowed.headers</param-name>
        <param-value>Accept,Accept-Encoding,Accept-Language,Access-Control-Request-Method,Access-Control-Request-Headers,Authorization,Connection,Content-Type,Host,Origin,Referer,Token-Id,User-Agent, X-Requested-With</param-value>
    </init-param>
    <init-param>
        <param-name>cors.allowed.origins</param-name>
        <param-value>*</param-value>
    </init-param>
    <init-param>
        <param-name>cors.allowed.methods</param-name>
        <param-value>GET, POST, PUT, DELETE, OPTIONS, HEAD</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>CorsFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

　　Step 2: 在配置文件./conf/web.xml，servlet处添加readonly参数，并设置为false。

<servlet>
        <servlet-name>default</servlet-name>
        <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
        <init-param>
            <param-name>debug</param-name>
            <param-value>0</param-value>
        </init-param>
        <init-param>
            <param-name>listings</param-name>
            <param-value>true</param-value>
        </init-param>
        <init-param>
            <param-name>readonly</param-name>
            <param-value>false</param-value>
        </init-param>
        <load-on-startup>1</load-on-startup>
    </servlet>

　　重启Tomat服务，使用curl命令进行测试。

C:\WINDOWS\system32>curl -I -X OPTIONS http://localhost:8080/
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Access-Control-Allow-Origin: *
vary: Access-Control-Request-Headers,Access-Control-Request-Headers,access-control-request-method
Access-Control-Max-Age: 1800
Access-Control-Allow-Methods: HEAD,DELETE,POST,GET,OPTIONS,PUT
Access-Control-Allow-Headers: referer,accept-language,origin,access-control-request-method,accept,authorization,x-requested-with,host,access-control-request-headers,connection,content-type,token-id,accept-encoding,user-agent
Content-Type: text/html;charset=ISO-8859-1
Transfer-Encoding: chunked
Date: Mon, 25 Mar 2019 01:03:51 GMT

　　可以看到PUT、DELETE等方法已启用。这样便能对目标服务器做一些有危害的操作。

测试验证

　　主要测试一下PUT和DELETE两个方法。

PUT方法

　　使用PUT方法，向目标系统http://127.0.0.1:8080/test/helo.txt，写入字符串"hello world"。

C:\WINDOWS\system32>curl -v -X PUT -d "hello world" http://127.0.0.1:8080/test/helo.txt
*   Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to 127.0.0.1 (127.0.0.1) port 8080 (#0)
> PUT /test/helo.txt HTTP/1.1
> Host: 127.0.0.1:8080
> User-Agent: curl/7.55.1
> Accept: */*
> Content-Length: 11
> Content-Type: application/x-www-form-urlencoded
>
* upload completely sent off: 11 out of 11 bytes
< HTTP/1.1 201 Created
< Server: Apache-Coyote/1.1
< Access-Control-Allow-Origin: *
< Content-Length: 0
< Date: Mon, 25 Mar 2019 01:14:46 GMT
<
* Connection #0 to host 127.0.0.1 left intact

　　响应码为201，表示文件创建成功，通过浏览器访问，我们可以看到：

　　hello world ~ 

　　或使用REST API进行测试，在Chrome上安装REST API插件...请自行安装

　　可以看到文件创建成功。

DELETE方法

　　我们使用curl命令删除前面用REST API创建的文件：http://localhost:8080/test/haha.txt

C:\WINDOWS\system32>curl -v -X DELETE http://localhost:8080/test/haha.txt
*   Trying ::1...
* TCP_NODELAY set
* Connected to localhost (::1) port 8080 (#0)
> DELETE /test/haha.txt HTTP/1.1
> Host: localhost:8080
> User-Agent: curl/7.55.1
> Accept: */*
>
< HTTP/1.1 204 No Content
< Server: Apache-Coyote/1.1
< Access-Control-Allow-Origin: *
< Date: Mon, 25 Mar 2019 01:24:14 GMT
<
* Connection #0 to host localhost left intact

　　再使用REST API删除使用curl创建的文件：http://localhost:8080/test/helo.txt

　　整个世界都清净了...

　　由上可知，PUT和DELETE方法可以在目标服务器上创建和删除文件，危害较大。因此，应该尽量不去使用这些不安全的方法，仅允许一些常规的GET和POST请求，其它不用的方法都禁用。

参考

　　HTTP 请求方法

　　Tomcat 启用/禁用PUT & DELETE