HTTP メソッドのオーバーライド要求を無効にする

一部の Web フレームワークでは、特定の HTTP 要求ヘッダー (X-HTTP-Method、XHTTP-Method-Override、X-Method-Override など) により、要求内の HTTP メソッドをオーバーライドすることができます。

既定では、Orchestrator の認可は、HTTP ヘッダーの使用後に実行されます。このため、HTTP 動詞 (HTTP リクエストメソッド) のトンネリングを心配する必要はありません。

ただし、さらにセキュリティレイヤーを追加する場合には、Orchestrator インスタンスの web.config ファイルの X-HTTP-METHOD-OVERRIDE ヘッダーのサイズを 0 に制限することにより、このヘッダーを無効化することができます。

たとえば、設定ファイルに以下の設定を追加できます。

<security>
     <requestFiltering>
          <requestLimits>
              <headerLimits>
                    <add header="X-HTTP-METHOD-OVERRIDE" sizeLimit="0" />
               </headerLimits>
           </requestLimits>
     </requestFiltering>
</security><security>
     <requestFiltering>
          <requestLimits>
              <headerLimits>
                    <add header="X-HTTP-METHOD-OVERRIDE" sizeLimit="0" />
               </headerLimits>
           </requestLimits>
     </requestFiltering>
</security>