请求被拒绝，因为白名单[HEAD,DELETE,POST,GET,OPTIONS,PATCH,PUT]中不包括HTTP方法“connect”

Question

在AWS中部署为.war时，我得到RequestRejectedException异常。但当我在Heroku中将它部署为.jar时，我确实遇到了任何异常。谁能帮我理解为什么会这样？

我不是请求HTTP“connet”在我的应用程序的任何地方。

public void configure(HttpSecurity http) throws Exception {
http.csrf().disable().
    authorizeRequests()
        .antMatchers("/css/**", "/js/**", "/img/**","/scss/**","/vendor/**","/public/**","/**", "/static/**","/admin/**").permitAll()
        .antMatchers("/callbackurl/**").permitAll()
        .antMatchers("/").permitAll()
        .antMatchers(HttpMethod.POST, "/login").permitAll()
        .antMatchers("/api/**").permitAll() 
        .anyRequest().authenticated();

}

Answer 1

默认情况下不允许CONNECT作为HTTP方法

如果您尝试发送跟踪或连接，那么这将被视为禁止的HTTP方法，因此将抛出RequestRejectedException并带有消息“请求被拒绝，因为白名单中没有包含HTTP方法”。

尝试使用setAllowedHttpMethods添加它

您可以通过setAllowedHttpMethods方法指定您自己的白名单来重写此行为。也可以通过调用SetUnsafeAllowanyHttpMethod(boolean)关闭此功能并允许任何HTTP方法，但这将使您容易受到HTTP谓词篡改和XST攻击。