web

API privada de web, la aplicación principal de Overleaf. La llaman otros servicios (real-time, document-updater, project-history, third-party-datastore, git-bridge) y los scripts cron de la imagen de Server CE. Estas rutas solo necesitan autenticación HTTP básica, sin token CSRF: el router privado se monta antes que el router web, y solo el router web realiza la comprobación CSRF. Con BLOCK_CROSS_ORIGIN_REQUESTS=true (desactivado de forma predeterminada), web devuelve 403 para cualquier solicitud cuyo encabezado Origin no esté en ALLOWED_ORIGINS (de forma predeterminada, la URL del sitio). Los navegadores envían Origin en los POST, así que con ese ajuste activado, los POST enviados desde Hoppscotch en el navegador obtienen 403 salvo que pasen por el proxy de Hoppscotch.

• Dirección: http://web:3000, dentro de la red de Docker
• Autenticación: autenticación HTTP básica con WEB_API_USER y WEB_API_PASSWORD, salvo para status, health y metrics. Las rutas de git-bridge usan en su lugar un token de acceso personal.
• Archivo OpenAPI: develop/hoppscotch/openapi/web.yaml