在Apache TomEE中禁用HTTP OPTIONS请求的方法求助

你的问题核心在于：使用curl -i --request-target "*" -X OPTIONS http://localhost:8080/something/发起的是全局OPTIONS请求（目标为"*"），这类请求由Tomcat/TomEE容器直接处理，不会经过应用内的过滤器或web.xml安全约束，因此之前的配置均未生效。以下是针对性的解决方法：

1. 容器层面全局禁用OPTIONS请求 #

直接修改TomEE的配置，从根源拦截全局OPTIONS请求：

• 修改server.xml：在<Connector>节点中添加disabledMethods="OPTIONS"参数，同时关闭TRACE方法（符合安全审计要求）：

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443"
           allowTrace="false"
           disabledMethods="OPTIONS"/>

• 单个应用独立配置：如果不想全局禁用，可在应用的META-INF/context.xml中添加：

<Context>
    <Parameter name="disabledMethods" value="OPTIONS" override="false"/>
</Context>

2. 修正自定义过滤器覆盖所有OPTIONS请求场景 #

之前的过滤器仅处理特定资源的OPTIONS请求，需调整代码拦截所有OPTIONS请求（包括全局请求）：

public class OptionsMethodFilter implements Filter {

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;

        if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
            // 返回405明确标识方法不允许，而非200
            response.setHeader("Allow", "GET, HEAD, POST, PUT, DELETE");
            response.setStatus(HttpServletResponse.SC_METHOD_NOT_ALLOWED);
            return;
        }
        chain.doFilter(req, res);
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void destroy() {}
}

同时在web.xml中确保过滤器优先级最高、拦截范围覆盖所有请求：

<filter>
    <filter-name>OptionsMethodFilter</filter-name>
    <filter-class>com.yourpackage.OptionsMethodFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>OptionsMethodFilter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>INCLUDE</dispatcher>
    <dispatcher>FORWARD</dispatcher>
    <dispatcher>ERROR</dispatcher>
</filter-mapping>

3. 修正web.xml的安全约束配置 #

之前的配置将所有HTTP方法纳入约束，逻辑错误。需仅针对OPTIONS方法设置拒绝访问：

<security-constraint>
    <display-name>Block OPTIONS Requests</display-name>
    <web-resource-collection>
        <web-resource-name>All Application Resources</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>OPTIONS</http-method>
    </web-resource-collection>
    <!-- 空auth-constraint表示拒绝所有用户访问该方法 -->
    <auth-constraint/>
</security-constraint>

注意：该配置仅对特定资源的OPTIONS请求生效，无法拦截全局OPTIONS *请求，需结合容器配置或过滤器使用。

验证方法 #

分别测试两种场景：

• 普通资源OPTIONS请求：curl -i -X OPTIONS http://localhost:8080/something/
• 全局OPTIONS请求：curl -i --request-target "*" -X OPTIONS http://localhost:8080/

内容的提问来源于stack exchange，提问作者GangBanga