web

Privé-API van web, de hoofdapp van Overleaf. Andere services (real-time, document-updater, project-history, third-party-datastore, git-bridge) en de cronscripts van de Server CE-image roepen haar aan. Deze routes hebben alleen HTTP basic auth nodig, geen CSRF-token: de privérouter wordt vóór de webrouter gekoppeld, en alleen de webrouter voert de CSRF-controle uit. Met BLOCK_CROSS_ORIGIN_REQUESTS=true (standaard uit) geeft web 403 terug voor elk verzoek waarvan de Origin-header niet in ALLOWED_ORIGINS staat (standaard: de site-URL). Browsers sturen Origin mee bij POST, dus met deze schakelaar aan krijgen POST-verzoeken vanuit Hoppscotch in de browser 403, tenzij ze via de Hoppscotch-proxy lopen.

• Adres: http://web:3000, binnen het Docker-netwerk
• Authenticatie: HTTP basic auth met WEB_API_USER en WEB_API_PASSWORD, behalve voor status, health en metrics. De git-bridge-routes gebruiken in plaats daarvan een persoonlijk toegangstoken.
• OpenAPI-bestand: develop/hoppscotch/openapi/web.yaml