10

Em uma palestra que tive recentemente, um dos palestrantes comentou que os únicos métodos que, de fato, o APACHE e o NGINX aceitam/suportam são os métodos/verbos GET e POST.

O palestrante ainda esclarece que quando os outros métodos, como PUT, PATCH, DELETE e outros são utilizados, o APACHE e o NGINX mascaram o método, ou seja, são convertidos para GET e POST e repassados para a aplicação contendo uma flag do método antigo enviado. Assim a aplicação saberá qual método, de fato foi enviado.

Minha pergunta é: Os métodos/verbos realmente são aceitos pelo APACHE e o NGINX ou o procedimento contextualizado na pergunta é o que realmente acontece?

3
  • Não posso te dar maiores explicações de funcionamento de apache e nginx, mas esse palestrante não sabe de NADA, porque uso NGINX com SOCKECTS para o nodejs. E funciona perfeitamente. Ps: Desculpa paulo botei nos comentários...
    – user77310
    Commented 4/07/2017 às 19:50
  • @RafaelSalomão. Em nenhum momento foi dito que os métodos não funcionam no APACHE e no NGINX. Apenas foi questionado a forma como são tratadas as requisições, com exceção dos métodos POST e GET. Conforme descrito acima, foi explicado que tais métodos sofrem um tipo de manipulação que no final das contas o APACHE e no NGINX interpretam como POST e GET. Este é o fato que gostaria de desmistificar.
    – DNick
    Commented 4/07/2017 às 19:55
  • Ajustei a resposta para responder esta parte da manipulação que você citou ;)
    – Syzoth
    Commented 4/07/2017 às 20:47

1 Resposta 1

5

São sim, até mesmo pelo IIS, a não ser que teu servidor HTTP esteja desatualizado (seja uma versão antiga), dependendo do tipo de servidor que usa ele vai emitir um erro HTTP acaso invente um método que não existe.

Claro que porque o Apache, IIS, Nginx e lighttPD reconhecem todos os métodos HTTP não quer dizer que os web navegadores vão suporta-los para uso com coisas como HTML.

Também pode haver casos que o servidor aceite um método "inventado", mas isso você pode (e deve) tratar na aplicação, entenda que um método HTTP não funciona "por mágica" (automaticamente), ele é apenas um dialogo para que você ou que sua aplicação por trás do servidor HTTP (apache, etc) faça uso deste "verbo" (verbo na verdade é a entrada toda, método é o GET, POST, DELETE, etc), é como você dizer para alguém VOU na padaria, claro que a resposta chegando para a sua aplicação você pode interpretar o "VOU" como qualquer coisa (não que isto seja correto), a ideia dos métodos é normatizar/organizar os dados de entrada para que o servidor e a aplicação (sendo Python, PHP, asp.net, etc) entendam o que você "pretende", mas não quer dizer que de fato você enviou o que disse que estaria fazendo.

Creio que não seja o servidor HTTP que faça o "parse" dos dados, mas sim a aplicação ou framework que roda pelo módulo definido ou talvez até o próprio módulo faça isto, claro que isto pode variar, ainda sim se o método é implementado ele deve seguir a risca o propósito, se não é suportado é bem provável que seja um servidor mais antigo (não é algo impossível de encontrar) todavia é importante entender que em casos como POST ele pode receber diferentes tipos de payload, parte pode ser feita no front-end e outra parte é resolvida no back-end:

  • application/x-www-form-urlencoded este é o valor padrão

  • multipart/form-data

  • "Sem tratamento", da maneira que foi enviado é entregue (a não ser que seja um webnavegador)

E no caso de POST cada um é ajustado conforme o Content-Type de requisição

Controlando os métodos aceitos no Apache

No Apache2.2+ existe o <Limit> do qual pode controlar os métodos aceitos e pode ser configurado em todos contextos (configurações do Apache ou .htaccess), algo como:

<Limit POST PUT DELETE>
    ... Instrução ...
</Limit>

Ou usar o LimitExcept que faz ao contrário, "protege" todos menos os definidos:

<LimitExcept GET HEAD>
    ... Instrução se não for GET e HEAD ...
</LimitExcept>

Um exemplo conforme a documentação é "proteger" os métodos (outros métodos estarão "desprotegidos"):

<Limit POST PUT DELETE>
Require "usuário valido"
</Limit>

No Apache2.4 é tem um módulo que você pode ativar chamado https://httpd.apache.org/docs/2.4/mod/mod_allowmethods.html (Experimental), no qual você pode definir os unicos métodos permitidos (funciona no contexto do directory):

<Location "/">
   AllowMethods GET POST OPTIONS
</Location>

Controlando os métodos no Nginx

No Nginx você pode fazer algo semelhante ao Apache meio que manualmente:

//Ignora o método POST e emite 405
if ($request_method = POST) {
    return 405;
}

Irei editar para fornecer mais detalhes conforme possivel

1
  • Obrigado pela resposta minuciosa. Encontrei este este link que complementa sua resposta. Fala a respeito de como configurar os métodos HTTP permitidos no NGINX
    – DNick
    Commented 6/07/2017 às 11:15

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .