Không cho phép các phương thức HTTP trên Tomcat có phân biệt chữ hoa chữ thường?

Tôi đã đặt các tệp sau trong tệp web.xml của ứng dụng của mình để cố gắng không cho phép PUT, DELETE, v.v.:

 <security-constraint>
 <web-resource-collection>
  <web-resource-name>restricted methods</web-resource-name>
  <url-pattern>/*</url-pattern>
  <http-method>DELETE</http-method>
  <http-method>PUT</http-method>
  <http-method>SEARCH</http-method>
  <http-method>COPY</http-method>
  <http-method>MOVE</http-method>
  <http-method>PROPFIND</http-method>
  <http-method>PROPPATCH</http-method>
  <http-method>MKCOL</http-method>
  <http-method>LOCK</http-method>
  <http-method>UNLOCK</http-method>
  <http-method>delete</http-method>
  <http-method>put</http-method>
  <http-method>search</http-method>
  <http-method>copy</http-method>
  <http-method>move</http-method>
  <http-method>propfind</http-method>
  <http-method>proppatch</http-method>
  <http-method>mkcol</http-method>
  <http-method>lock</http-method>
  <http-method>unlock</http-method>
 </web-resource-collection>
 <auth-constraint />
 </security-constraint>

Được rồi, vậy bây giờ:

Nếu tôi thực hiện một yêu cầu với phương pháp DELETEtôi sẽ nhận lại 403.

Nếu tôi thực hiện một yêu cầu với phương pháp deletetôi sẽ nhận lại 403.

NHƯNG

Nếu tôi làm một yêu cầu với phương pháp DeLeTetôi nhận được OK!

Làm thế nào tôi có thể làm cho nó không cho phép những trường hợp không nhạy cảm?

Chỉnh sửa: Tôi đang thử nghiệm nó với chương trình C #:

    private void button1_Click(object sender, EventArgs e)
    {
        textBox1.Text = "making request";
        System.Threading.Thread.Sleep(400);
        WebRequest req = WebRequest.Create("http://serverurl/Application/cache_test.jsp");
        req.Method = txtMethod.Text;
        try
        {
            HttpWebResponse resp = (HttpWebResponse)req.GetResponse();

            textBox1.Text = "Status: " + resp.StatusCode;

            if (resp.StatusCode == System.Net.HttpStatusCode.OK)
            {
                WebHeaderCollection header = resp.Headers;
                using (System.IO.StreamReader reader = new System.IO.StreamReader(resp.GetResponseStream(), ASCIIEncoding.ASCII))
                {
                    //string responseText = reader.ReadToEnd();
                    textBox1.Text += "\r\n" + reader.ReadToEnd();
                }
            }
        }
        catch (Exception ex)
        {
            textBox1.Text = ex.Message;
        }
    }

txtMethod.Textlà một hộp văn bản nơi tôi đang gõ tên phương thức. Khi có 403, một ngoại lệ được ném vào khối bắt.

Cache_test.jsp chứa:

<%
response.setHeader("Cache-Control", "no-store, no-cache, must-revalidate, post-check=0, pre-check=0");
response.setHeader("Pragma","no-cache");

out.print("Method used was: "+request.getMethod());
%>

Bất kể hành vi không chính xác của Tomcat liên quan đến tiêu chuẩn HTTP, bạn nên sử dụng danh sách trắng để cho phép các phương thức cụ thể thay vì danh sách đen.

Ví dụ, danh sách trắng sau đây sẽ chặn tất cả các phương thức ngoại trừ phân biệt chữ hoa chữ thường GET và HEAD.

<security-constraint>
    <web-resource-collection>
        <web-resource-name>restricted methods</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method-omission>GET</http-method-omission>
        <http-method-omission>HEAD</http-method-omission>
    </web-resource-collection>
    <auth-constraint />
</security-constraint>

(Lưu ý: yêu cầu Tomcat 7+. Những người sử dụng các phiên bản cũ hơn sẽ phải điều tra các giải pháp khác, ví dụ: bộ lọc servlet.)

Tham chiếu

Chà, sau khi kiểm tra nhanh qua một số máy chủ ngẫu nhiên giữ Server: Apache-Coyottechữ ký tiêu đề trong các phản hồi HTTP của họ, có vẻ như bạn đã đúng khi gửi get / HTTP/1.1\r\nHost: <target_IP>\r\n\r\nvới một kết nối netcat đơn giản hoạt động mỗi khi phải nhận được 400 mã HTTP.

Ví dụ :

$ { echo -en "get / HTTP/1.1\r\nHost: <target_IP>:8080\r\n\r\n" ; } | nc <target_IP> 8080

01:14:58.095547 IP 192.168.1.3.57245 > <target_IP>.8080: Flags [P.], seq 1:42, ack 1, win 115, options [nop,nop,TS val 4294788321 ecr 0], length 41
E..]C.@.@..Y......p.....A..v.......s.......
..D.....get / HTTP/1.1
Host: <target_IP>:8080

[...]

01:14:58.447946 IP <target_IP>.8080 > 192.168.1.3.57245: Flags [.], seq 1:1409, ack 43, win 65494, options [nop,nop,TS val 7981294 ecr 4294787971], length 1408
E...f...i.....p.............A..............
.y....C.HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Content-Type: text/html;charset=ISO-8859-1
Transfer-Encoding: chunked
Date: Tue, 27 Jan 2015 00:15:14 GMT

Tôi phải nói rằng tôi hơi sốc ở đây và tôi sẽ không ngạc nhiên khi thấy hành vi đó được mở rộng cho tất cả các phương thức HTTP / 1.1 trong trường hợp đó.

Bạn nên điền báo cáo lỗi vào công cụ theo dõi lỗi của họ và gửi thư đến danh sách gửi thư thích hợp vì đó là một vi phạm xấu của RFC 2616 (xem bên dưới) với hậu quả xấu.

Phương pháp 5.1.1

  The Method  token indicates the method to be performed on the
  resource identified by the Request-URI. The method is case-sensitive.

      Method         = "OPTIONS"                ; Section 9.2
                     | "GET"                    ; Section 9.3
                     | "HEAD"                   ; Section 9.4
                     | "POST"                   ; Section 9.5
                     | "PUT"                    ; Section 9.6
                     | "DELETE"                 ; Section 9.7
                     | "TRACE"                  ; Section 9.8
                     | "CONNECT"                ; Section 9.9
                     | extension-method
      extension-method = token