web

Private API von web, der Overleaf-Hauptanwendung. Andere Dienste (real-time, document-updater, project-history, third-party-datastore, git-bridge) und die Cron-Skripte des Server-CE-Images rufen sie auf. Diese Routen benötigen nur HTTP-Basic-Auth, kein CSRF-Token: Der private Router wird vor dem Web-Router eingebunden, und nur der Web-Router führt die CSRF-Prüfung aus. Mit BLOCK_CROSS_ORIGIN_REQUESTS=true (standardmäßig aus) gibt web 403 für jede Anfrage zurück, deren Origin-Header nicht in ALLOWED_ORIGINS steht (Standard: die Site-URL). Browser senden Origin bei POST, daher erhalten bei aktiviertem Schalter POSTs, die aus Hoppscotch im Browser gesendet werden, 403, sofern sie nicht über den Hoppscotch-Proxy laufen.

• Adresse: http://web:3000, innerhalb des Docker-Netzwerks
• Authentifizierung: HTTP-Basic-Auth mit WEB_API_USER und WEB_API_PASSWORD, außer für Status, Health und Metriken. Die git-bridge-Routen verwenden stattdessen ein persönliches Zugriffstoken.
• OpenAPI-Datei: develop/hoppscotch/openapi/web.yaml