使用OPTIONS请求方法绕过403页面获取200响应是否属于可上报漏洞

首先这个问题需要结合实际响应内容判断，不能只凭200响应码下定论：

• 如果你拿到的200响应仅返回标准的OPTIONS请求内容（比如Access-Control-Allow-*相关CORS头、允许的请求方法列表等），没有返回目录文件列表、未授权的资源内容，那这个情况仅属于服务器配置不严谨，不属于有效可上报的漏洞，多数站点不会受理这类上报。
• 如果OPTIONS请求返回的200响应里包含了本应被403限制的内容，比如assets/css目录下的完整文件列表、未对外公开的敏感静态资源内容、甚至可以通过该方法直接读取目录下任意非公开文件，那属于典型的访问控制失效漏洞，完全可以向网站方上报。

补充判断参考：站点对assets/css这类静态资源目录加403限制的核心目的是禁止目录遍历，避免攻击者获取资源命名规则、未公开的历史版本资源、内部路径信息等。如果你使用OPTIONS请求确实获取到了上述本不该对外暴露的信息，就属于有效漏洞；如果只有响应码变为200，没有任何实质的未授权内容泄露，上报后大概率会被判定为低危或者无效。

你可以先自行完成简单验证再决定是否上报：

• 对比普通GET请求和OPTIONS请求访问该路径的响应头、响应体差异
• 检查OPTIONS响应体中是否包含非公开的目录、文件路径信息
• 验证是否可以基于OPTIONS方法组合其他操作，读取该目录下本应禁止访问的资源

内容的提问来源于stack exchange，提问作者Shivam Kumar