| 核查 | OPTIONS 返回的方法集与实际放行 |
|---|---|
| 风险 | 写方法直通与代理行为差异 |
| 修复 | 按需放行方法，网关层统一收敛 |
检查方式
检查方式
curl -s -X OPTIONS -i https://target.example/ | findstr /i "allow"
# 对关键路径分别验证（静态资源、API、上传）仅做方法与响应核查；不使用写方法对生产资源做验证。
HTTP 方法支持检查
核查服务器允许的方法集：PUT/DELETE 直通、TRACE 回显、方法重载（X-HTTP-Method-Override）都可能扩大操作面。
易错点
- 只测根路径，API 子路径采用不同配置
- 把反代默认放行当作业务配置
数据来源与参考
- RFC 9110（HTTP 方法）
- OWASP WSTG WSTG-CONF-06