一、背景 

    为了满足360安全检测的要求，由于系统要在政府网的云服务器上运行，360与政府均有合作，上线前必须获得360的安全认证，方可上线。

二、360安全要求，尽量用get和post的api的应用，禁用OPTIONS ,即对put,delete,tract等最不要使用，他们认为不安全。

三、nginx中的配置：

    server {

        listen       80;         server_name  localhost;

        #charset koi8-r;

        #access_log  logs/host.access.log  main;

        location / {             root   html;             index  index.html index.htm;         add_header Cache-Control no-cache;             add_header Pragma no-cache;             add_header Expires 0;         }      

        #error_page  404              /404.html;

        # redirect server error pages to the static page /50x.html         #         error_page   500 502 503 504  /50x.html;         location = /50x.html {             root   html;         }

        # proxy the PHP scripts to Apache listening on 127.0.0.1:80         #         #location ~ \.php$ {         #    proxy_pass   http://127.0.0.1;         #}

        # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000         #         #location ~ \.php$ {         #    root           html;         #    fastcgi_pass   127.0.0.1:9000;         #    fastcgi_index  index.php;         #    fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;         #    include        fastcgi_params;         #}

        # deny access to .htaccess files, if Apache's document root         # concurs with nginx's one         #         #location ~ /\.ht {         #    deny  all;         #}

       #禁用options请求        if ($request_method !~* GET|POST) {             return 403;         }     }

下面这个代码就是屏蔽非GET、POST类型请求，返回XXX状态码。

 if ($request_method !~* GET|POST) {             return 403;

        }

四、spring boot禁用Options的相关方法，在跨域过滤器中禁用相关的api方法：