如何在Dropwizard中阻止OPTIONS请求被处理？

我太懂你这个困扰了！Dropwizard底层用的Jetty服务器，默认会自动拦截并处理OPTIONS请求，而且这个处理逻辑跑在Jersey的过滤器之前——这就是为啥你之前写的Jersey自定义过滤器根本没机会碰OPTIONS请求，CrossOriginFilter也不管用的原因。

下面给你两个靠谱的Java代码实现方案，直接在Dropwizard里搞定：

方案一：在Jetty安全层直接禁用OPTIONS方法 #

这个方法最底层，直接让Jetty拒绝所有OPTIONS请求，从根源上解决问题：

@Override
public void run(YourAppConfiguration config, Environment environment) {
    // 获取Dropwizard内置的Jetty Server实例
    Server jettyServer = environment.getApplicationContext().getServer();

    // 创建一个约束规则：禁止OPTIONS方法
    Constraint disableOptionsConstraint = new Constraint();
    disableOptionsConstraint.setName("BlockOPTIONS");
    disableOptionsConstraint.setAuthenticate(false);
    disableOptionsConstraint.setForbidden(true); // 标记为禁止访问

    // 把约束映射到所有路径的OPTIONS请求上
    ConstraintMapping constraintMapping = new ConstraintMapping();
    constraintMapping.setConstraint(disableOptionsConstraint);
    constraintMapping.setPathSpec("/*"); // 匹配所有API路径
    constraintMapping.setMethod("OPTIONS");

    // 将约束添加到Jetty的安全处理器中
    SecurityHandler securityHandler = jettyServer.getSecurityHandler();
    if (securityHandler instanceof ConstraintSecurityHandler) {
        ((ConstraintSecurityHandler) securityHandler).addConstraintMapping(constraintMapping);
    }
}

这样配置后，所有OPTIONS请求都会直接被Jetty返回403 Forbidden，完全不会暴露允许的请求方法信息。

方案二：自定义Jetty过滤器（更灵活） #

如果你需要更灵活的处理逻辑（比如返回405 Method Not Allowed而不是403），可以写一个自定义Filter，并且确保它在Jersey的过滤器之前执行：

@Override
public void run(YourAppConfiguration config, Environment environment) {
    // 创建自定义Filter，拦截OPTIONS请求
    Filter optionsBlockerFilter = new Filter() {
        @Override
        public void init(FilterConfig filterConfig) {}

        @Override
        public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
            HttpServletRequest httpReq = (HttpServletRequest) request;
            if ("OPTIONS".equalsIgnoreCase(httpReq.getMethod())) {
                HttpServletResponse httpResp = (HttpServletResponse) response;
                httpResp.setStatus(HttpServletResponse.SC_METHOD_NOT_ALLOWED); // 返回405
                httpResp.setHeader("Allow", ""); // 清空Allow头，不暴露允许的方法
                return;
            }
            // 非OPTIONS请求，继续走后续过滤器链
            chain.doFilter(request, response);
        }

        @Override
        public void destroy() {}
    };

    // 将Filter添加到Jetty的Servlet上下文，设置优先级高于Jersey
    FilterHolder filterHolder = new FilterHolder(optionsBlockerFilter);
    environment.servlets().addFilter("OptionsBlocker", filterHolder)
            .addMappingForUrlPatterns(EnumSet.of(DispatcherType.REQUEST), true, "/*")
            .setOrder(1); // 确保比Jersey的Filter先执行（Jersey默认order是100）
}

这个方案可以让你自定义返回的状态码和响应头，完全满足你的安全需求。

为啥之前的方法没用？ #

• Jersey的NameBinding过滤器：Jetty在Jersey处理请求前就已经处理了OPTIONS请求，所以Jersey的过滤器根本接不到这个请求。
• CrossOriginFilter：它只处理跨域场景下的OPTIONS预检请求，不是用来全局禁用OPTIONS方法的，所以对你的场景无效。

内容的提问来源于stack exchange，提问作者Mukul Anand