web

API privata di web, l’applicazione principale di Overleaf. La chiamano gli altri servizi (real-time, document-updater, project-history, third-party-datastore, git-bridge) e gli script cron dell’immagine Server CE. Queste route richiedono solo l’autenticazione HTTP basic, senza token CSRF: il router privato è montato prima del router web, e solo il router web esegue il controllo CSRF. Con BLOCK_CROSS_ORIGIN_REQUESTS=true (disattivato per impostazione predefinita) web restituisce 403 per qualsiasi richiesta il cui header Origin non sia in ALLOWED_ORIGINS (predefinito: l’URL del sito). I browser inviano Origin sulle POST, quindi con questa opzione attiva le POST inviate da Hoppscotch nel browser ricevono 403, a meno che non passino per il proxy di Hoppscotch.

• Indirizzo: http://web:3000, all’interno della rete Docker
• Autenticazione: autenticazione HTTP basic con WEB_API_USER e WEB_API_PASSWORD, tranne che per status, health e metrics. Le route di git-bridge usano invece un token di accesso personale.
• File OpenAPI: develop/hoppscotch/openapi/web.yaml