Désactivation de la requête de remplacement de la méthode HTTP

Comment les en-têtes de remplacement de la méthode HTTP affectent l’autorisation d’Orchestrator et les options pour les désactiver

Certaines infrastructures Web permettent de remplacer la méthode HTTP dans la requête en fournissant des en-têtes de requêtes HTTP spécifiques, telles que X-HTTP-Method, XHTTP-Method-Override, et X-Method-Override.

L'autorisation dans Orchestrator s'effectue, par défaut, après l'utilisation des en-têtes HTTP. Par conséquent, le tunneling des verbes ne doit pas vous inquiéter.

Pour obtenir une couche de sécurité supplémentaire, toutefois, vous pouvez désactiver l'en-tête X-HTTP-METHOD-OVERRIDE dans le fichier web.config de votre instance d'Orchestrator, en définissant sa limite de taille sur 0.

Par exemple, vous pouvez ajouter les éléments suivants dans le fichier de configuration :

<security>
     <requestFiltering>
          <requestLimits>
              <headerLimits>
                    <add header="X-HTTP-METHOD-OVERRIDE" sizeLimit="0" />
               </headerLimits>
           </requestLimits>
     </requestFiltering>
</security>