OPTIONS方法被用于CORS跨域探测如何限制_安全审计必备_各Web服务器配置汇总_经验总结
HTTP方法的安全配置遵循最小权限原则，网站只开放业务必需的方法。绝大多数网站只需要GET（获取页面）和POST（提交表单），HEAD方法用于检查资源状态可以保留，其他方法如果没有明确的业务需求都应该禁用。这项配置改动小、效果明显，是网站安全加固中性价比最高的操作之一。
Tomcat禁用危险HTTP方法在conf/web.xml中配置。通过
TRACE方法的主要风险是XST（Cross-Site Tracing，跨站追踪）攻击。攻击者可以利用TRACE方法结合XSS漏洞，获取用户的Cookie等敏感信息。虽然现代浏览器大多已经禁止了XMLHttpRequest发送TRACE请求，但仍然有其他方式可以利用。禁用TRACE方法是WASC（Web应用安全联盟）推荐的安全配置项，PCI DSS合规也要求禁用TRACE方法。
CONNECT方法用于建立隧道连接，通常只在代理服务器中使用。Web服务器如果支持CONNECT方法，可能被利用作为代理进行攻击或访问内网资源。绝大多数网站不需要CONNECT方法，应该禁用。此外还有PROPFIND、PROPPATCH、MKCOL、COPY、MOVE、LOCK、UNLOCK等WebDAV扩展方法，如果不使用WebDAV都应该一并禁用。
配置完成后需要验证是否生效。使用curl命令测试：curl -v -X TRACE https://你的域名/，如果返回405或403状态码说明禁用成功。同样测试OPTIONS、PUT、DELETE等方法。也可以使用在线工具检测，比如一些网站安全检测平台会检查HTTP方法配置。验证时注意测试网站的所有域名和子域名，确保每个站点都配置了规则。
站长反馈：网站被安全扫描报出TRACE方法启用的低危漏洞，按照教程在Nginx配置中加了一行规则，重新扫描后漏洞消除，整个过程不到5分钟。后来测试了一下，OPTIONS也一起禁用了，网站功能没有任何影响。
安全提示：禁用HTTP危险方法只是安全加固的一项，不能替代其他安全措施。它能防止特定类型的攻击，但对于SQL注入、XSS、文件上传漏洞等没有防护效果。建议结合WAF、程序升级、权限加固等措施形成完整防护体系。
更新时间：2026-08-26 22:15:29