Deaktivieren von Überschreibungsanforderungen der HTTP-Methode

Manche Web-Rahmen sehen eine Möglichkeit vor, die HTTP-Methode in der Anforderung zu überschreiben, indem bestimmte HTTP-Anforderungs-Header wie zum Beispiel X-HTTP-Method, XHTTP-Method-Override und X-Method-Override zur Verfügung gestellt werden.

Die Ermächtigung in Orchestrator erfolgt per Standard nach dem Verbrauch der HTTP-Header. Daher brauchen Sie sich über Verb-Tunneling keine Gedanken zu machen.

Um eine zusätzliche Sicherheitsschicht zu gewährleisten, können Sie jedoch den Header X-HTTP-METHOD-OVERRIDE in der Datei web.config Ihrer Orchestrator-Instanz deaktivieren, indem Sie dessen Größenbegrenzung auf 0 festlegen.

Sie können zum Beispiel Folgendes in der config-Datei hinzufügen:

<security>
     <requestFiltering>
          <requestLimits>
              <headerLimits>
                    <add header="X-HTTP-METHOD-OVERRIDE" sizeLimit="0" />
               </headerLimits>
           </requestLimits>
     </requestFiltering>
</security>