生产环境下Rails应用如何处理未知HTTP请求方法？

问题背景 #

生产环境的Rails应用收到机器人发送的非标准HTTP方法（如PURGE），触发ActionController::UnknownHttpMethod异常，且常规中间件无法捕获该异常。

可行解决方案 #

1. 前置自定义中间件拦截异常

由于ActionController::UnknownHttpMethod是在ActionDispatch校验请求方法时抛出的，该阶段早于大部分自定义中间件的执行时机，因此需要将拦截中间件插入到ActionDispatch::Request之前：

创建初始化文件config/initializers/unknown_http_method_handler.rb：

class UnknownHttpMethodHandler
  def initialize(app)
    @app = app
  end

  def call(env)
    begin
      @app.call(env)
    rescue ActionController::UnknownHttpMethod
      # 返回405 Method Not Allowed，可根据需求调整响应内容
      [405, {"Content-Type" => "text/plain"}, ["Method Not Allowed"]]
    end
  end
end

# 确保中间件优先级高于ActionDispatch::Request
Rails.application.config.middleware.insert_before ActionDispatch::Request, UnknownHttpMethodHandler

2. Web服务器层面拦截（推荐）

直接在Nginx等Web服务器配置中拦截非标准HTTP方法，避免请求到达Rails应用，提升性能：

Nginx配置示例：

server {
  # 其他配置项...
  
  if ($request_method !~ ^(OPTIONS|GET|HEAD|POST|PUT|DELETE|TRACE|CONNECT|PROPFIND|PROPPATCH|MKCOL|COPY|MOVE|LOCK|UNLOCK|VERSION-CONTROL|REPORT|CHECKOUT|CHECKIN|UNCHECKOUT|MKWORKSPACE|UPDATE|LABEL|MERGE|BASELINE-CONTROL|MKACTIVITY|ORDERPATCH|ACL|SEARCH|MKCALENDAR|PATCH)$ ) {
    return 405;
  }
}

3. 修改Rails允许的HTTP方法列表（不推荐）

若确实需要支持特定非标准方法，可将其添加到ActionDispatch的允许列表，但此操作会修改Rails核心行为，存在安全风险：

创建初始化文件config/initializers/http_methods.rb：

ActionDispatch::Request::HTTP_METHODS.add('PURGE')

方案优先级 #

Web服务器拦截 > 前置中间件捕获 > 修改Rails核心方法列表

内容的提问来源于stack exchange，提问作者Waseeq Ahmed