一个健壮性极好的Web服务，当面临暴力请求攻击时，应该具有一定的容错能力。最近，有一个安全项目验收，自己就遇到了相关的问题。因为对应的Web服务接口框架参考的是一个开源工程，可能没有经历太多实战的洗礼，这方面就表现的稍微不如人意。
问题细节描述：
对应的点播服务开放了播放列表的查询接口，正常情况下，当Web页面访问查询接口时，点播服务返回对应的视频文件播放列表。但是，在进行安全项测试时，测试人员在对应Get请求的URL中输入了不存在的物理文件地址，接口返回了相应的报错堆栈信息。这种行为是非常不安全！
解决
遇到这个报错时，自己以为是一个很简单的问题，后来的尝试让我明白是自己想简单了。
尝试一
于是，自己想到了把对应的报错捕获不就行了嘛。
代码实例：
try {
//todo
} catch (e) {
console.log("服务查询报错, err: ", e);
}
但是，结果出人意料，问题依然存在。（最后才明白了，是接口框架的问题）
尝试二
于是想到了在查询接口中去校验URL的合理性以及参数的合法性，只允许设置指定参数，如果异常直接返回报错信息。
经过测试，上面的问题确实解决了。
但是，后来的安全测试报告中又提到，如果URL后边是一段乱码，问题依然存在。
尝试三
面对上面的问题，自己非常的不解，后来，查看了点播服务处理接口请求部分的代码，发现原来是点播服务响应了所有的接口请求。这样设计的目的是为了解决跨域问题，但是没有想到引入了健壮性问题。
app.all("*",function(req,res,next){
//设置允许跨域的域名，*代表允许任意域名跨域
res.header("Access-Control-Allow-Origin","*");
//允许的header类型
res.header("Access-Control-Allow-Headers","content-type");
//跨域允许的请求方式
res.header("Access-Control-Allow-Methods","DELETE,PUT,POST,GET,OPTIONS");
if (req.method.toLowerCase() == 'options')
res.send(200); //让options尝试请求快速结束
else
next();
})
将上述代码改造成接收对应的请求后，问题消失。
结尾
好了，关于 http get 请求健壮性问题的排查过程就介绍完了，欢迎大家关注我，我是 Data-Mining (liuzhen007)，中国邦德，中国一个会敲代码的邦德。