网站只允许GET POST HEAD方法配置_安全加固_实战配置指南
很多站长在安全扫描报告中会看到"允许TRACE方法""HTTP方法OPTIONS信息泄露"这类低危漏洞，不知道该如何处理。其实禁用这些危险HTTP方法只需要在Web服务器配置中添加几行规则，不同服务器（Nginx、Apache、IIS）的配置方式略有不同，但原理都是一样的：只允许网站正常运行所需的方法，其他方法全部返回405或403。
Apache禁用危险HTTP方法有两种方式。第一种是使用mod_rewrite模块，在.htaccess或httpd.conf中配置：RewriteEngine On，RewriteCond %{REQUEST_METHOD} ^(TRACE|OPTIONS|DELETE|PUT|CONNECT)$ [NC]，RewriteRule .* - [F]。这种方式会返回403禁止访问。第二种是使用mod_security模块的SecRule指令，或者使用
IIS禁用危险HTTP方法需要在web.config中配置。使用
CONNECT方法用于建立隧道连接，通常只在代理服务器中使用。Web服务器如果支持CONNECT方法，可能被利用作为代理进行攻击或访问内网资源。绝大多数网站不需要CONNECT方法，应该禁用。此外还有PROPFIND、PROPPATCH、MKCOL、COPY、MOVE、LOCK、UNLOCK等WebDAV扩展方法，如果不使用WebDAV都应该一并禁用。
PUT和DELETE方法通常与WebDAV相关。如果服务器开启了WebDAV且配置不当，攻击者可以通过PUT方法上传恶意文件（包括webshell），通过DELETE方法删除网站文件。很多服务器默认安装了WebDAV模块但没有正确配置权限，成为安全隐患。如果网站不需要WebDAV功能，应该直接卸载或禁用WebDAV模块，同时在HTTP方法配置中禁用PUT和DELETE。
禁用HTTP方法后需要检查网站功能是否受影响。大部分网站只使用GET和POST，禁用其他方法不会有影响。但有一些特殊场景需要注意：使用CORS跨域的网站，浏览器会发送OPTIONS预检请求，这种情况下不能完全禁用OPTIONS，需要限制OPTIONS只在特定路径下允许。使用RESTful API的网站可能需要PUT和DELETE方法，需要根据API设计决定是否开放。CDN缓存可能使用HEAD请求，所以建议保留HEAD方法。
站长反馈：网站被安全扫描报出TRACE方法启用的低危漏洞，按照教程在Nginx配置中加了一行规则，重新扫描后漏洞消除，整个过程不到5分钟。后来测试了一下，OPTIONS也一起禁用了，网站功能没有任何影响。
安全提示：禁用HTTP危险方法只是安全加固的一项，不能替代其他安全措施。它能防止特定类型的攻击，但对于SQL注入、XSS、文件上传漏洞等没有防护效果。建议结合WAF、程序升级、权限加固等措施形成完整防护体系。
更新时间：2026-08-26 22:20:07
上一篇：虚拟主机宝塔面板网络_面板管理