网站被扫描出允许TRACE方法怎么禁用_安全配置方案_安全加固_2024整理
很多站长在安全扫描报告中会看到"允许TRACE方法""HTTP方法OPTIONS信息泄露"这类低危漏洞，不知道该如何处理。其实禁用这些危险HTTP方法只需要在Web服务器配置中添加几行规则，不同服务器（Nginx、Apache、IIS）的配置方式略有不同，但原理都是一样的：只允许网站正常运行所需的方法，其他方法全部返回405或403。
Apache禁用危险HTTP方法有两种方式。第一种是使用mod_rewrite模块，在.htaccess或httpd.conf中配置：RewriteEngine On，RewriteCond %{REQUEST_METHOD} ^(TRACE|OPTIONS|DELETE|PUT|CONNECT)$ [NC]，RewriteRule .* - [F]。这种方式会返回403禁止访问。第二种是使用mod_security模块的SecRule指令，或者使用
PUT和DELETE方法通常与WebDAV相关。如果服务器开启了WebDAV且配置不当，攻击者可以通过PUT方法上传恶意文件（包括webshell），通过DELETE方法删除网站文件。很多服务器默认安装了WebDAV模块但没有正确配置权限，成为安全隐患。如果网站不需要WebDAV功能，应该直接卸载或禁用WebDAV模块，同时在HTTP方法配置中禁用PUT和DELETE。
CONNECT方法用于建立隧道连接，通常只在代理服务器中使用。Web服务器如果支持CONNECT方法，可能被利用作为代理进行攻击或访问内网资源。绝大多数网站不需要CONNECT方法，应该禁用。此外还有PROPFIND、PROPPATCH、MKCOL、COPY、MOVE、LOCK、UNLOCK等WebDAV扩展方法，如果不使用WebDAV都应该一并禁用。
配置完成后需要验证是否生效。使用curl命令测试：curl -v -X TRACE https://你的域名/，如果返回405或403状态码说明禁用成功。同样测试OPTIONS、PUT、DELETE等方法。也可以使用在线工具检测，比如一些网站安全检测平台会检查HTTP方法配置。验证时注意测试网站的所有域名和子域名，确保每个站点都配置了规则。
真实经历：禁用OPTIONS方法后发现网站的跨域上传功能失效了，排查后发现是CORS预检请求被拦截。后来调整了规则，只对API路径允许OPTIONS，其他路径禁用，既保证了功能正常，又减少了信息泄露面。
安全提示：禁用HTTP危险方法只是安全加固的一项，不能替代其他安全措施。它能防止特定类型的攻击，但对于SQL注入、XSS、文件上传漏洞等没有防护效果。建议结合WAF、程序升级、权限加固等措施形成完整防护体系。
更新时间：2026-08-30 15:20:50
上一篇：Windows Server 2022下txt文件时间戳调整｜版本控制文件时间规整中Windows修改文件创建时间修改时间完整指南