如何禁用GCP存储桶中静态网站的HTTP OPTIONS请求方法？

针对你遇到的Cloud Armor Edge策略不支持7层HTTP方法过滤、Flutter Web无法直接拦截请求的问题，提供以下几种可行方案：

方案1：Cloud CDN+URL重写+自定义响应（推荐，无额外成本） #

利用Cloud CDN的自定义错误响应和ALB的路由规则，把OPTIONS等禁用方法的请求转为405响应：

1. 确保外部ALB的后端存储桶已启用Cloud CDN（未启用的话，在负载均衡器后端配置中开启）
2. 配置自定义错误响应：
   • 进入负载均衡器的Cloud CDN设置，添加自定义错误规则：状态码选404，自定义响应状态码设为405，同时添加响应头Allow: GET, HEAD（根据实际允许的方法调整），响应内容可填简单的Method Not Allowed
3. 添加ALB路由规则：
   • 新增路由规则，匹配条件选择「HTTP方法」为OPTIONS（可同时添加TRACE、DELETE、PUT、CONNECT）
   • 路由动作选择「重写URL」，将路径重写为一个存储桶中不存在的路径（比如/_forbidden_method）

当禁用方法的请求进来时，会被重写到不存在的路径触发404，再通过自定义规则转为405响应，完美满足漏洞扫描要求。

方案2：Cloud Functions中间层（适合复杂逻辑场景） #

通过Cloud Functions作为请求中间层，统一过滤HTTP方法后再转发到存储桶：

1. 创建HTTP触发的Cloud Function，代码示例（Node.js）：

const { Storage } = require('@google-cloud/storage');
const storage = new Storage();
const BUCKET_NAME = '你的存储桶名称';

exports.serveStaticContent = async (req, res) => {
  // 定义禁止的HTTP方法列表
  const forbiddenMethods = ['OPTIONS', 'TRACE', 'DELETE', 'PUT', 'CONNECT'];
  if (forbiddenMethods.includes(req.method)) {
    res.setHeader('Allow', 'GET, HEAD');
    return res.status(405).send('Method Not Allowed');
  }

  // 处理合法请求，从存储桶获取资源
  const filePath = req.path === '/' ? '/index.html' : req.path;
  try {
    const file = storage.bucket(BUCKET_NAME).file(filePath.slice(1)); // 移除路径开头的/
    const [content] = await file.download();
    // 根据文件扩展名设置正确的Content-Type
    const contentType = getContentType(filePath);
    res.setHeader('Content-Type', contentType);
    res.status(200).send(content);
  } catch (err) {
    res.status(err.code === 404 ? 404 : 500).send(err.message);
  }
};

// 辅助函数：根据文件路径返回对应Content-Type
function getContentType(path) {
  const extMap = {
    html: 'text/html',
    css: 'text/css',
    js: 'application/javascript',
    png: 'image/png',
    jpg: 'image/jpeg',
    svg: 'image/svg+xml'
  };
  const ext = path.split('.').pop().toLowerCase();
  return extMap[ext] || 'application/octet-stream';
}

2. 将外部ALB的后端服务从存储桶切换为该Cloud Function，所有请求会先经过函数过滤方法。

方案3：Backend类型Cloud Armor策略（仅兼容计算类后端） #

注意：Backend类型的Cloud Armor策略支持7层过滤，但仅适用于Compute Engine实例、托管实例组这类后端，存储桶作为后端无法绑定该类型策略，因此这个方案对你的场景不适用，仅作补充说明。

内容的提问来源于stack exchange，提问作者victor6510