São sim, até mesmo pelo IIS, a não ser que teu servidor HTTP esteja desatualizado (seja uma versão antiga), dependendo do tipo de servidor que usa ele vai emitir um erro HTTP acaso invente um método que não existe.
Claro que porque o Apache, IIS, Nginx e lighttPD reconhecem todos os métodos HTTP não quer dizer que os web navegadores vão suporta-los para uso com coisas como HTML.
Também pode haver casos que o servidor aceite um método "inventado", mas isso você pode (e deve) tratar na aplicação, entenda que um método HTTP não funciona "por mágica" (automaticamente), ele é apenas um dialogo para que você ou que sua aplicação por trás do servidor HTTP (apache, etc) faça uso deste "verbo" (verbo na verdade é a entrada toda, método é o GET
, POST
, DELETE
, etc), é como você dizer para alguém VOU na padaria
, claro que a resposta chegando para a sua aplicação você pode interpretar o "VOU
" como qualquer coisa (não que isto seja correto), a ideia dos métodos é normatizar/organizar os dados de entrada para que o servidor e a aplicação (sendo Python, PHP, asp.net, etc) entendam o que você "pretende", mas não quer dizer que de fato você enviou o que disse que estaria fazendo.
Creio que não seja o servidor HTTP que faça o "parse" dos dados, mas sim a aplicação ou framework que roda pelo módulo definido ou talvez até o próprio módulo faça isto, claro que isto pode variar, ainda sim se o método é implementado ele deve seguir a risca o propósito, se não é suportado é bem provável que seja um servidor mais antigo (não é algo impossível de encontrar) todavia é importante entender que em casos como POST
ele pode receber diferentes tipos de payload, parte pode ser feita no front-end e outra parte é resolvida no back-end:
application/x-www-form-urlencoded
este é o valor padrão
multipart/form-data
"Sem tratamento", da maneira que foi enviado é entregue (a não ser que seja um webnavegador)
E no caso de POST
cada um é ajustado conforme o Content-Type
de requisição
Controlando os métodos aceitos no Apache
No Apache2.2+ existe o <Limit>
do qual pode controlar os métodos aceitos e pode ser configurado em todos contextos (configurações do Apache ou .htaccess
), algo como:
<Limit POST PUT DELETE>
... Instrução ...
</Limit>
Ou usar o LimitExcept
que faz ao contrário, "protege" todos menos os definidos:
<LimitExcept GET HEAD>
... Instrução se não for GET e HEAD ...
</LimitExcept>
Um exemplo conforme a documentação é "proteger" os métodos (outros métodos estarão "desprotegidos"):
<Limit POST PUT DELETE>
Require "usuário valido"
</Limit>
No Apache2.4 é tem um módulo que você pode ativar chamado https://httpd.apache.org/docs/2.4/mod/mod_allowmethods.html (Experimental), no qual você pode definir os unicos métodos permitidos (funciona no contexto do directory):
<Location "/">
AllowMethods GET POST OPTIONS
</Location>
Controlando os métodos no Nginx
No Nginx você pode fazer algo semelhante ao Apache meio que manualmente:
//Ignora o método POST e emite 405
if ($request_method = POST) {
return 405;
}
Irei editar para fornecer mais detalhes conforme possivel
APACHE
e noNGINX
. Apenas foi questionado a forma como são tratadas as requisições, com exceção dos métodosPOST
eGET
. Conforme descrito acima, foi explicado que tais métodos sofrem um tipo de manipulação que no final das contas oAPACHE
e noNGINX
interpretam comoPOST
eGET
. Este é o fato que gostaria de desmistificar.