Можно ли безопасно использовать метод HTTP "PATCH" через прокси и т. Д.?
Предположим, что мой сервер предоставляет API на основе HTTP, который использует PATCH метод введен RFC 5789. Возможно ли, что клиенты (браузеры или другие) за корпоративными брандмауэрами, прокси-серверами, кешами, фильтрами родительского контроля и т. П. Столкнутся с какими-либо проблемами при использовании этого метода? Если так, насколько вероятно это?
При условии PATCH не был частью исходных HTTP-спецификаций, но, представленный позже, я мог представить, что некоторые программы просто отклонят такие запросы из-за "недопустимого" метода. С другой стороны, я надеюсь, что такое программное обеспечение просто проходит через все и в большинстве случаев накладывает некоторые ограничения на определенные методы HTTP, такие как POST (например, не кэшируя свои результаты).
Обратите внимание, что я не спрашиваю о PATCH поддержка на стороне сервера или в браузере, но только о компонентах между клиентом и сервером, которые я не знаю и не контролирую. Кроме того, вопрос, или нет PATCH сама по себе хорошая идея для API выходит за рамки этого вопроса.
1 ответ
Ответ на этот вопрос - движущаяся цель. С течением времени PATCH или становится более или менее популярным, системы в сети могут поддерживать его или не поддерживать.
Обычно только сетевые объекты, которые будут заботиться о глаголах HTTP, будут OSI Level 3 (IP) и выше (брандмауэры, прокси-серверы). Некоторые из них являются "глупыми" в том смысле, что они не проверяют OSI Level 4 (TCP). Другие являются "умными" и могут выполнять на уровне протокола. Например, они не позволят вам открыть порт 80 и отправлять сообщения STMP.
Даже если устройство "умное", оно все равно может быть настроено так, чтобы разрешать или запрещать использование более необычных HTTP-глаголов, таких как PATCH. Поэтому теперь мы должны учитывать уровень безопасности организации, в которой размещено устройство. Места с открытым Wi-Fi, такие как Starbucks и Аэропорты, могут быть довольно драконовскими и блокировать безопасность. То же самое с некоторыми корпорациями, особенно если они имеют дело с конфиденциальными данными (финансовая, личная информация).
В результате, в зависимости от демографических характеристик ваших пользователей, PATCH может быть проблематичным, если у вас нет резервного механизма. Я бы посчитал, что у пользователей с ограниченными правами в следующих доменах могут быть проблемы: чувствительная корпоративная среда, школы, военные организации.