OPTIONS方法泄露服务器支持方法列表如何禁用_配置步骤_安全审计必备_实用教程
HTTP方法的安全配置遵循最小权限原则，网站只开放业务必需的方法。绝大多数网站只需要GET（获取页面）和POST（提交表单），HEAD方法用于检查资源状态可以保留，其他方法如果没有明确的业务需求都应该禁用。这项配置改动小、效果明显，是网站安全加固中性价比最高的操作之一。
Nginx禁用危险HTTP方法的配置方式是在server块中添加if条件判断。推荐使用白名单方式：只允许GET、POST、HEAD方法，其他全部返回405。配置写法：if ($request_method !~ ^(GET|POST|HEAD)$) { return 405; }。这条规则会匹配所有非白名单内的方法，返回405 Method Not Allowed状态码。需要注意Nginx的if指令在某些情况下有性能问题，但用于方法判断影响很小，可以放心使用。
IIS禁用危险HTTP方法需要在web.config中配置。使用
TRACE方法的主要风险是XST（Cross-Site Tracing，跨站追踪）攻击。攻击者可以利用TRACE方法结合XSS漏洞，获取用户的Cookie等敏感信息。虽然现代浏览器大多已经禁止了XMLHttpRequest发送TRACE请求，但仍然有其他方式可以利用。禁用TRACE方法是WASC（Web应用安全联盟）推荐的安全配置项，PCI DSS合规也要求禁用TRACE方法。
禁用HTTP方法后需要检查网站功能是否受影响。大部分网站只使用GET和POST，禁用其他方法不会有影响。但有一些特殊场景需要注意：使用CORS跨域的网站，浏览器会发送OPTIONS预检请求，这种情况下不能完全禁用OPTIONS，需要限制OPTIONS只在特定路径下允许。使用RESTful API的网站可能需要PUT和DELETE方法，需要根据API设计决定是否开放。CDN缓存可能使用HEAD请求，所以建议保留HEAD方法。
站长反馈：网站被安全扫描报出TRACE方法启用的低危漏洞，按照教程在Nginx配置中加了一行规则，重新扫描后漏洞消除，整个过程不到5分钟。后来测试了一下，OPTIONS也一起禁用了，网站功能没有任何影响。
配置提醒：修改HTTP方法配置前先确认网站是否有特殊功能依赖这些方法。特别是使用了CORS、RESTful API、WebDAV的网站，需要根据实际情况调整规则，不要一刀切全部禁用，避免影响正常业务。
更新时间：2026-08-27 00:49:53
上一篇：虚拟主机404页面怎么设置自动跳转？_Meta refresh与JS跳转方法_排查处理方法