HTTP方法覆盖漏洞是指攻击者利用Web服务器或应用程序对HTTP请求方法（如PUT、DELETE、TRACE、OPTIONS等）的处理不当，绕过安全限制执行未授权操作的一种攻击手段。简单来说，很多网站默认只允许GET和POST方法，但如果服务器配置松懈，攻击者就能通过发送PUT请求上传恶意文件、用DELETE删除关键数据、用TRACE获取敏感信息。解决这个问题的核心思路有三条：第一，在Web服务器层面明确禁用不需要的HTTP方法；第二，在应用层对所有请求方法做统一鉴权；第三，部署WAF（Web应用防火墙）做实时拦截。下面我会把每一条都讲透，包括具体的配置代码和实操建议。

一、HTTP方法到底有哪些，为什么会成为攻击面

HTTP协议定义了多种请求方法，最常见的是GET（获取资源）和POST（提交数据）。但除此之外还有PUT（上传/替换资源）、DELETE（删除资源）、PATCH（局部更新）、OPTIONS（查询支持的方法）、TRACE（回显请求用于调试）、CONNECT（建立隧道连接）。正常情况下，一个普通的展示型网站只需要GET和POST就够了。但很多服务器默认不做限制，全部放行，这就给攻击者留下了操作空间。

举个实际场景：某个网站的上传接口只对POST做了文件类型校验，但没有限制PUT方法。攻击者直接用PUT请求绕过前端表单，把一个WebShell文件传到了服务器指定目录，随后就能远程控制服务器。再比如，TRACE方法会把客户端发送的请求原样返回，如果配合XST（跨站追踪）攻击，可以窃取用户的Cookie信息。这些都是真实发生过的安全事件。

二、服务器层面的HTTP方法限制配置

从根源上解决问题，首先要在Web服务器层面把不需要的方法直接关掉。不同的服务器配置方式不同，下面逐一说明。

1. Nginx配置禁用HTTP方法

Nginx本身没有内置的"禁用某个方法"的指令，但可以通过if判断配合返回405状态码来实现。在server块或location块中加入以下配置：

if ($request_method !~ ^(GET|POST|HEAD)$ ) {
    return 405;
}

这段配置的意思是：如果请求方法不是GET、POST、HEAD中的任意一个，直接返回405 Method Not Allowed。如果你的网站需要用到PUT（比如做RESTful API），就把PUT加到括号里。这种方式简单粗暴，性能损耗几乎为零。

2. Apache配置禁用HTTP方法

Apache的做法更优雅，可以用Rewrite模块或者直接用LimitExcept指令。推荐用LimitExcept，在虚拟主机配置或.htaccess中写入：

<LimitExcept GET POST HEAD>
    Require all denied
</LimitExcept>

这段代码表示除了GET、POST、HEAD之外，其他所有方法都拒绝访问。如果你用的是Apache 2.4以上版本，Require all denied是标准写法。如果是2.2版本，用Order allow,deny和Deny from all替代。

3. IIS服务器配置

IIS可以通过请求筛选模块（Request Filtering）来限制HTTP方法。在IIS管理器中，打开网站的"请求筛选"功能，切换到"HTTP谓词"选项卡，直接勾选你允许的方法（GET、POST、HEAD），取消勾选其他的。也可以在web.config中配置：

<security>
    <requestFiltering>
        <verbs allowUnlisted="false">
            <add verb="GET" allowed="true" />
            <add verb="POST" allowed="true" />
            <add verb="HEAD" allowed="true" />
        </verbs>
    </requestFiltering>
</security>

allowUnlisted="false"是关键，表示不在列表中的方法一律拒绝。

三、应用层的安全加固策略

光靠服务器层面限制还不够，因为有些场景下你确实需要开放PUT或DELETE（比如API接口）。这时候就需要在应用代码层面做鉴权控制，确保每个方法的调用都经过身份验证和权限校验。

1. 统一中间件鉴权

不管用什么框架，核心思路是写一个中间件，对所有进入的请求先判断方法类型，再检查用户是否有权限执行该操作。以Node.js的Express框架为例：

app.use((req, res, next) => {
    const allowedMethods = ['GET', 'POST', 'HEAD'];
    if (!allowedMethods.includes(req.method)) {
        if (!req.user || !req.user.isAdmin) {
            return res.status(403).json({ error: 'Forbidden method' });
        }
    }
    next();
});

这段中间件的逻辑是：如果请求方法不在允许列表中，就检查用户是否是管理员，不是就拒绝。这样既保证了普通用户无法使用危险方法，又给管理员留了操作空间。

2. 对文件上传接口做方法白名单

很多漏洞出在文件上传接口只校验了POST，没管PUT。正确做法是在上传路由中明确指定只接受POST：

app.post('/upload', authenticate, authorize('admin'), uploadHandler);

如果你用的是Spring Boot（Java），可以用RequestMapping精确限定：

@RequestMapping(value = "/upload", method = RequestMethod.POST)
public ResponseEntity<?> handleUpload(@RequestParam("file") MultipartFile file) {
    // 上传处理逻辑
}

这样即使有人发PUT请求到/upload路径，Spring也会直接返回405，因为没有匹配的handler。

3. 禁用TRACE方法防止XST攻击

TRACE方法在生产环境中几乎没有任何正当用途，建议所有环境一律关闭。在Nginx中可以这样做：

if ($request_method = TRACE) {
    return 405;
}

在Apache中，确保mod_trace模块没有被加载，或者用Rewrite规则拦截：

RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* - [F]

[F]表示返回403 Forbidden，直接拒绝。

四、WAF层面的防护补充

如果你的架构比较复杂，有多个服务、多个入口，逐一配置服务器和应用代码成本很高。这时候部署WAF是最高效的补充手段。主流WAF产品都支持自定义规则，可以针对HTTP方法做精细化控制。

具体规则示例：当检测到请求方法为PUT且目标路径包含.php、.jsp等可执行文件后缀时，直接拦截并告警。当检测到TRACE方法时，无论目标是什么，一律阻断。这些规则可以在WAF控制台中通过图形界面配置，也可以通过API批量部署。

需要注意的是，WAF不能替代服务器和应用层的配置，它只是最后一道防线。如果前面的配置都没做好，WAF规则一旦被绕过（比如通过编码混淆），攻击就会直接打到后端。

五、常见误区和深度分析

很多人以为"我用了HTTPS就安全了"，这是一个典型误区。HTTPS只解决了传输加密的问题，和HTTP方法限制完全是两回事。攻击者在HTTPS连接上一样可以发PUT、DELETE请求，服务器如果不做限制，照样中招。

另一个误区是"我的网站是静态页面，不需要限制"。静态网站虽然没有后端逻辑，但如果服务器允许PUT方法，攻击者可以直接覆盖你的HTML文件，植入恶意内容或者钓鱼页面。2023年就有多个企业官网因为这个问题被篡改首页。

还有一个容易忽略的点：CDN和反向代理层的配置。如果你的网站前面挂了CDN，CDN本身可能会透传所有HTTP方法到源站。你需要在CDN控制台中同样配置方法限制，否则源站的配置形同虚设。目前主流CDN都支持自定义HTTP方法过滤，花几分钟在后台配置一下就行。

六、检测和验证方法是否生效

配置完之后一定要验证。可以用curl命令快速测试：

curl -X PUT http://yourdomain.com/test.txt -d "malicious"
curl -X DELETE http://yourdomain.com/test.txt
curl -X TRACE http://yourdomain.com/

如果返回405或403，说明配置生效。如果返回200或者其他正常响应，说明还有漏洞需要排查。也可以用专业的扫描工具如Nikto、Nmap的http-methods脚本做批量检测：

nmap --script http-methods --script-args http-methods.url-path=/ yourdomain.com

这个脚本会枚举服务器支持的所有HTTP方法，一目了然。

七、总结与最佳实践清单

把上面的内容浓缩成一份可执行的清单，方便你直接对照操作：第一，在Nginx/Apache/IIS层面禁用所有非必要的HTTP方法，只保留GET、POST、HEAD；第二，TRACE方法在任何环境下都关闭；第三，应用层对每个接口明确声明允许的方法类型，不要用通配符；第四，文件上传、数据删除等敏感操作必须加身份认证和权限校验；第五，CDN和反向代理层同步配置方法限制；第六，部署WAF做补充防护；第七，定期用工具扫描验证配置是否持续有效。做到这七点，HTTP方法覆盖类漏洞基本可以清零。

安全防护从来不是单点的事情，而是分层防御。服务器层是第一道门，应用层是第二道门，WAF是第三道门。每一层都做好了，攻击者就算找到了一个突破口，也会被下一层挡住。网站漏洞防护的核心逻辑就是这个——不要把所有鸡蛋放在一个篮子里，也不要指望任何单一措施能解决所有问题。