web

Privat API for web, Overleafs hovedapp. Andre tjenester (real-time, document-updater, project-history, third-party-datastore, git-bridge) og cronskriptene i Server CE-imaget kaller den. Disse rutene krever bare HTTP basic auth, ikke noe CSRF-token: den private ruteren monteres før web-ruteren, og bare web-ruteren kjører CSRF-kontrollen. Med BLOCK_CROSS_ORIGIN_REQUESTS=true (av som standard) returnerer web 403 for alle forespørsler der Origin-headeren ikke er i ALLOWED_ORIGINS (standard: nettstedets URL). Nettlesere sender Origin ved POST, så med denne innstillingen på får POST-forespørsler fra Hoppscotch i nettleseren 403 med mindre de går gjennom Hoppscotch-proxyen.

• Adresse: http://web:3000, innenfor Docker-nettverket
• Autentisering: HTTP basic auth med WEB_API_USER og WEB_API_PASSWORD, unntatt for status, health og metrics. git-bridge-rutene bruker i stedet et personlig tilgangstoken.
• OpenAPI-fil: develop/hoppscotch/openapi/web.yaml