Apache配置Limit指令禁用TRACE OPTIONS请求方法_网站安全运维实战指南
最近不少站长反馈遇到禁用危险HTTP方法TRACE OPTIONS的情况。今天把完整的处理思路和操作步骤写出来，照着做基本都能解决。
网站安全事件的处理有标准流程，遵循流程能避免遗漏关键步骤。很多站长凭感觉操作，结果要么清理不彻底，要么误删正常文件导致网站瘫痪。
权限设置遵循最小原则。网站目录权限设为755，文件权限设为644，配置文件设为600。上传目录单独设置禁止PHP执行，这样即使木马被上传也无法运行。
处理这类问题的核心思路是先止损再清理最后加固。第一步切断攻击者的访问路径，把已经发现的恶意入口全部封掉，防止攻击者在清理过程中继续操作。
SSL证书和HTTPS配置不能马虎。网站必须强制HTTPS访问，配置HSTS头防止协议降级攻击。证书到期前30天就要续期，避免证书过期导致浏览器警告和访客流失。
从运维数据看，超过70%的网站安全问题源于已知漏洞未及时修补和弱口令。处理当前问题的同时，必须把根源漏洞补上，否则过不了多久还会被再次入侵。
CDN和WAF是性价比很高的防护手段。CDN隐藏源站IP，WAF拦截常见攻击请求。这两项配置好，大部分自动化扫描和攻击都会被挡在外面，源站压力也小很多。
OPTIONS方法会返回服务器支持的HTTP方法列表，攻击者可以通过它探测服务器信息。虽然风险相对较低，但禁用它能减少信息泄露。如果网站有CORS跨域需求，需要谨慎处理OPTIONS请求。
清理工作要分文件层和代码层两个维度做。文件层扫描所有目录找出异常文件，代码层逐行审计核心文件检查是否被注入恶意代码。两个维度都做完才算清理彻底。
日志分析是找出攻击入口的有效手段。通过分析访问日志中的异常请求，能定位到攻击者利用了哪个漏洞、上传了什么文件、操作了哪些数据，为后续修补提供依据。
TRACE方法会把请求原样返回给客户端，攻击者可以利用它进行XST（跨站追踪）攻击，窃取用户的Cookie和认证信息。这个方法在所有网站中都应该禁用，没有任何正常业务需要用到它。
网站监控不能少。配置文件变化监控、访问异常监控、服务器资源监控，这三项监控配齐了，网站出问题能第一时间收到告警，不用等搜索引擎标记了才发现。
HTTP协议定义了多种请求方法，其中GET和POST是网站常用的，而TRACE、OPTIONS、PUT、DELETE、CONNECT等方法在普通网站中基本用不到，但存在安全风险，应该禁用。
博客站长反馈：之前被360标记危险网站，申诉了两次都没通过。按文章里的方法做了深度清理和漏洞修补，第三次申诉当天就通过了。
最后强调：密码安全是最容易被忽视也是最重要的环节。处理完安全事件后，所有相关密码必须全部更换，且使用强密码。这一步偷懒等于前面的工作白做。
更新时间：2026-08-27 12:08:47