web

Приватний API web, основного застосунку Overleaf. Його викликають інші сервіси (real-time, document-updater, project-history, third-party-datastore, git-bridge) і cron-скрипти образу Server CE. Цим маршрутам потрібна лише HTTP basic auth, без CSRF-токена: приватний маршрутизатор підключається раніше за веб-маршрутизатор, і перевірку CSRF виконує лише веб-маршрутизатор. З BLOCK_CROSS_ORIGIN_REQUESTS=true (за замовчуванням вимкнено) web повертає 403 на будь-який запит, заголовок Origin якого не входить до ALLOWED_ORIGINS (за замовчуванням: URL сайту). Браузери надсилають Origin у POST-запитах, тож за ввімкненого параметра POST-запити з Hoppscotch у браузері отримують 403, якщо не йдуть через проксі Hoppscotch.

• Адреса: http://web:3000, всередині мережі Docker
• Автентифікація: HTTP basic auth з WEB_API_USER і WEB_API_PASSWORD, окрім status, health і metrics. Маршрути git-bridge натомість використовують персональний токен доступу.
• Файл OpenAPI: develop/hoppscotch/openapi/web.yaml