web

API privada do web, o aplicativo principal do Overleaf. Outros serviços (real-time, document-updater, project-history, third-party-datastore, git-bridge) e os scripts cron da imagem do Server CE a chamam. Essas rotas exigem apenas autenticação HTTP básica, sem token CSRF: o roteador privado é montado antes do roteador web, e só o roteador web faz a verificação de CSRF. Com BLOCK_CROSS_ORIGIN_REQUESTS=true (desativado por padrão), o web retorna 403 para qualquer requisição cujo cabeçalho Origin não esteja em ALLOWED_ORIGINS (padrão: a URL do site). Os navegadores enviam Origin em POST, então, com essa opção ativada, POSTs enviados do Hoppscotch no navegador recebem 403, a menos que passem pelo proxy do Hoppscotch.

• Endereço: http://web:3000, dentro da rede Docker
• Autenticação: autenticação HTTP básica com WEB_API_USER e WEB_API_PASSWORD, exceto para status, health e metrics. As rotas do git-bridge usam um token de acesso pessoal.
• Arquivo OpenAPI: develop/hoppscotch/openapi/web.yaml