tomcat禁用PUT,DELETE等一些不必要的HTTP方法

前言

在项目进行渗透测试的时候，我们收到了第三方测试报告，要求我们禁用DELETE、PUT、TRACE、MOVE、COPY、OPTIONS等HTTP请求方法，降低可攻击性。

解决办法

在tomcat的web.xml中设置一些参数即可：

可能web.xml中以前就有一些代码，注释掉，换成我的，如果报错的话就百度下，应该很好解决。我把代码粘贴到下面，方便复制

<web-app xmlns="http://java.sun.com/xml/ns/j2ee"  
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
    xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd"  
    version="2.4">

<security-constraint>  
  <web-resource-collection>  
  <url-pattern>/*</url-pattern>  
    <http-method>PUT</http-method>  
	    <http-method>DELETE</http-method>  
	    <http-method>HEAD</http-method>  
	    <http-method>OPTIONS</http-method>  
	    <http-method>TRACE</http-method> 
  </web-resource-collection>  
	<auth-constraint>  
	</auth-constraint>  
</security-constraint>  
<login-config>  
	<auth-method>BASIC</auth-method>  
</login-config>