41、Web 开发安全与脚本语言应用指南

Web 开发安全与脚本语言应用指南

1. HTTP 请求方法

在不使用客户端 JavaScript 的情况下，浏览器也能提交 POST 请求，其他客户端如 wget 和 curl 同样可以。你需要一个带有 JavaScript URL 的按钮或其他链接，来提交页面上的表单。
- PUT 方法 ：这是最初的 HTTP 上传机制。和处理 POST 请求一样，你需要指定一个 CGI 脚本来处理 PUT 请求。不过，PUT 方法似乎已被 WebDAV 等方法取代。
- TRACE 方法 ：TRACE 方法原本是作为调试工具设计的，但很少有人了解或使用它。后来有人发现了一个漏洞（http://www.kb.cert.org/vuls/id/867593），并建议在 Apache 中禁用 TRACE 处理。不过，该漏洞利用所需的环境非常特殊，所以不一定非要禁用。

2. CGI 语言

任何遵循 CGI 规范的语言都可以作为 CGI 语言。一个 HTTP 响应至少需要一个初始的 MIME 类型行、一个空行，然后是内容。以下是一个用 shell 编写的最小 CGI 脚本示例：

#!/bin/sh
echo "Content-type: text/html"
echo
echo "Hello, world"

从技术上讲，前两个 echo 行应以回车换行对（ \r\n\r\n ）结尾，但浏览器能处理 Unix 风格的换行符。虽然 C 程序可能比 shell 或 P