【SpringBoot项目中禁用OPTIONS请求方法，修复启用OPTIONS方法漏洞】

SpringBoot项目中禁用OPTIONS请求方法，修复启用OPTIONS方法漏洞

小伙伴们在进行漏洞扫描的时候经常会遇到启用OPTIONS方法这个中危漏洞，要想修复这个漏洞其实只要做以下配置就行。

禁用OPTIONS请求方法可以通过自定义过滤器来实现

import org.springframework.stereotype.Component;  
import org.springframework.web.filter.GenericFilterBean;  
  
import javax.servlet.http.HttpServletRequest;  
import javax.servlet.http.HttpServletResponse;  
  
@Component  
public class OPTIONSFilter extends GenericFilterBean {  
  
    @Override  
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)  
            throws IOException, ServletException {  
  
        HttpServletRequest req = (HttpServletRequest) request;  
        HttpServletResponse res = (HttpServletResponse) response;  
  
        // 判断请求方法是否为OPTIONS  
        if (req.getMethod().equals("OPTIONS")) {  
            // 设置响应头信息，禁止OPTIONS请求  
            res.setHeader("Allow", "GET, POST, HEAD, PUT, DELETE");  
            res.setStatus(HttpServletResponse.SC_METHOD_NOT_ALLOWED);  
            return;  
        }  
  
        // 继续处理其他请求  
        chain.doFilter(request, response);  
    }  
}

我们创建了一个名为OPTIONSFilter的过滤器，它继承了GenericFilterBean。在doFilter方法中，我们首先判断请求方法是否为OPTIONS，如果是，则设置响应头信息，并返回HTTP 405错误状态码，表示不允许使用OPTIONS方法。如果不是OPTIONS请求，则继续处理其他请求。

要使用这个过滤器，需要在Spring Boot的配置文件中进行配置。例如，在application.properties文件中添加以下内容：

# 配置过滤器  
spring.servlet.filter.order=1

这将确保过滤器在所有其他过滤器之前执行。然后，在@Configuration类中添加以下内容：

import org.springframework.context.annotation.Bean;  
import org.springframework.context.annotation.Configuration;  
import org.springframework.web.filter.GenericFilterBean;  
  
@Configuration  
public class WebConfig {  
  
    @Bean  
    public OPTIONSFilter optionsFilter() {  
        return new OPTIONSFilter();  
    }  
}

这将创建一个名为optionsFilter的Bean，并将其注册到应用程序上下文中。现在，当接收到OPTIONS请求时，将会返回405错误状态码，并且响应头信息中将包含允许的请求方法。