Comment interdire les requêtes http `DELETE` dans Springboot ?

Question

Le service de sécurité nous demande d'interdire DELETE et d'autres méthodes de requête http si nous n'avons pas besoin de les utiliser dans nos applications. Dans les SpringMVC Je peux ajouter le security-constraint en web.xml comme ceci :

<security-constraint>  
<display-name>delete-method</display-name>  
<web-resource-collection>  
    <web-resource-name>unsafe-method</web-resource-name>  
    <url-pattern>/*</url-pattern>
    <http-method>DELETE</http-method>
</web-resource-collection>  
<auth-constraint/>  

Mais je ne sais pas comment ajouter Springboot . Le serveur est tomcat8.x et fonctionne sous CentOS.

Answer 1

Vous pouvez utiliser CORS pour le filtrer. Vous pouvez spécifier les HTTP types de demandes.

Exemple de la documentation de Spring :

<mvc:cors>

    <mvc:mapping path="/api/**"
        allowed-origins="http://domain1.com, http://domain2.com"
        allowed-methods="GET, PUT"
        allowed-headers="header1, header2, header3"
        exposed-headers="header1, header2" allow-credentials="false"
        max-age="123" />

    <mvc:mapping path="/resources/**"
        allowed-origins="http://domain1.com" />

</mvc:cors>

OU

Vous pouvez le faire avec Java .

Voici le bonne mise en œuvre

@Component
public class CorsFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, OPTIONS");
        response.setHeader("Access-Control-Max-Age", "3600");
        response.setHeader("Access-Control-Allow-Headers", "authorization, content-type, xsrf-token");
        response.addHeader("Access-Control-Expose-Headers", "xsrf-token");
        if ("OPTIONS".equals(request.getMethod())) {
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            filterChain.doFilter(request, response);
        }
    }
}