Spring Boot Actuator 安全使用指南<\/h1>

1. Actuator 概述<\/h2>

Spring Boot Actuator 是 Spring Boot 提供的对应用系统的监控和管理集成功能，主要用于微服务架构下的应用监控。它能够提供应用配置的详细信息，包括：<\/p>

自动化配置信息<\/li>
创建的 Spring beans 信息<\/li>
系统环境变量的配置信息<\/li>

Web 请求的详细信息<\/li> <\/ul>

2. Actuator 基本使用<\/h2>

2.1 添加依赖<\/h3>

在项目中添加以下依赖即可启用 Actuator：<\/p>

<dependency><\/span>
<\/span><\/span>    <groupId><\/span>org.springframework.boot<\/groupId><\/span>
<\/span><\/span>    <artifactId><\/span>spring-boot-starter-actuator<\/artifactId><\/span>
<\/span><\/span><\/dependency><\/span>
<\/span><\/span><\/code><\/pre>2.2 自定义访问路径<\/h3>
可以在 application.properties<\/code> 中指定 Actuator 的访问路径：<\/p>
management.context-path=\/monitor
<\/code><\/pre>
设置后，访问端点需要使用 \/monitor<\/code> 前缀，如 \/monitor\/env<\/code>。<\/p>
3. Actuator 原生端点<\/h2>
Actuator 提供了一系列原生监控端点：<\/p>



路径<\/th>
描述<\/th>
<\/tr>
<\/thead>


\/autoconfig<\/td>
提供自动配置报告，记录哪些自动配置条件通过\/未通过<\/td>
<\/tr>

\/beans<\/td>
描述应用程序上下文里全部的 Bean 及其关系<\/td>
<\/tr>

\/env<\/td>
获取全部环境属性<\/td>
<\/tr>

\/configprops<\/td>
描述配置属性如何注入 Bean<\/td>
<\/tr>

\/dump<\/td>
获取线程活动的快照<\/td>
<\/tr>

\/health<\/td>
报告应用程序的健康指标<\/td>
<\/tr>

\/info<\/td>
获取应用程序的定制信息<\/td>
<\/tr>

\/mappings<\/td>
描述全部的 URI 路径及其与控制器(包含 Actuator 端点)的映射关系<\/td>
<\/tr>

\/metrics<\/td>
报告各种应用程序度量信息<\/td>
<\/tr>

\/shutdown<\/td>
关闭应用程序(需显式启用)<\/td>
<\/tr>

\/trace<\/td>
提供基本的 HTTP 请求跟踪信息<\/td>
<\/tr>
<\/tbody>
<\/table>
4. Actuator 安全隐患<\/h2>
如果不加限制地使用 Actuator，可能导致以下安全问题：<\/p>

敏感信息泄露<\/strong>：通过 \/env<\/code> 可获取系统环境变量、数据库密码等敏感信息<\/li>
请求信息泄露<\/strong>：通过 \/trace<\/code> 可查看所有 Web 请求的详细信息，包括请求头、cookie 等<\/li>
应用配置暴露<\/strong>：通过 \/configprops<\/code> 可查看应用的详细配置<\/li>
应用关闭风险<\/strong>：如果启用了 \/shutdown<\/code> 端点，攻击者可关闭应用<\/li>
<\/ol>
5. 安全防护措施<\/h2>
5.1 禁用特定端点<\/h3>
可以禁用不需要的端点：<\/p>
endpoints.env.enabled=false
<\/code><\/pre>
5.2 选择性启用端点<\/h3>
先禁用所有端点，再启用需要的：<\/p>
endpoints.enabled=false
endpoints.metrics.enabled=true
<\/code><\/pre>
5.3 添加安全依赖<\/h3>
引入 Spring Security 依赖：<\/p>
<dependency><\/span>
<\/span><\/span>    <groupId><\/span>org.springframework.boot<\/groupId><\/span>
<\/span><\/span>    <artifactId><\/span>spring-boot-starter-security<\/artifactId><\/span>
<\/span><\/span><\/dependency><\/span>
<\/span><\/span><\/code><\/pre>5.4 配置安全验证<\/h3>
在 application.properties<\/code> 中配置：<\/p>
management.port=8099  # 使用独立管理端口
management.security.enabled=true  # 启用安全
security.user.name=admin  # 设置用户名
security.user.password=admin  # 设置密码
<\/code><\/pre>
5.5 网络层防护<\/h3>

将管理端口设置为内网访问<\/li>
通过防火墙限制管理端口的访问来源<\/li>
不在公网暴露管理端口<\/li>
<\/ol>
6. 安全建议<\/h2>

必须<\/strong> 引入 security 依赖并启用安全限制<\/li>
必须<\/strong> 设置身份验证机制<\/li>
建议<\/strong> 使用独立的管理端口<\/li>
建议<\/strong> 限制管理端口的网络访问<\/li>
建议<\/strong> 在生产环境中禁用不必要的端点<\/li>
建议<\/strong> 将 Actuator 安全配置纳入代码审计范围<\/li>
<\/ol>
7. 参考资源<\/h2>

Spring Boot Actuator 官方文档<\/a><\/li>
定期检查 Spring Boot 安全公告，获取最新安全建议<\/li>
<\/ul>

路径<\/th>	描述<\/th> <\/tr> <\/thead>
\/autoconfig<\/td>	提供自动配置报告，记录哪些自动配置条件通过\/未通过<\/td> <\/tr>
\/beans<\/td>	描述应用程序上下文里全部的 Bean 及其关系<\/td> <\/tr>
\/env<\/td>	获取全部环境属性<\/td> <\/tr>
\/configprops<\/td>	描述配置属性如何注入 Bean<\/td> <\/tr>
\/dump<\/td>	获取线程活动的快照<\/td> <\/tr>
\/health<\/td>	报告应用程序的健康指标<\/td> <\/tr>
\/info<\/td>	获取应用程序的定制信息<\/td> <\/tr>
\/mappings<\/td>	描述全部的 URI 路径及其与控制器(包含 Actuator 端点)的映射关系<\/td> <\/tr>
\/metrics<\/td>	报告各种应用程序度量信息<\/td> <\/tr>
\/shutdown<\/td>	关闭应用程序(需显式启用)<\/td> <\/tr>
\/trace<\/td>	提供基本的 HTTP 请求跟踪信息<\/td> <\/tr> <\/tbody> <\/table> 4. Actuator 安全隐患<\/h2> 如果不加限制地使用 Actuator，可能导致以下安全问题：<\/p> 敏感信息泄露<\/strong>：通过 `\/env<\/code> 可获取系统环境变量、数据库密码等敏感信息<\/li>` `请求信息泄露<\/strong>：通过 \/trace<\/code> 可查看所有 Web 请求的详细信息，包括请求头、cookie 等<\/li>` `应用配置暴露<\/strong>：通过 \/configprops<\/code> 可查看应用的详细配置<\/li>` 应用关闭风险<\/strong>：如果启用了 \/shutdown<\/code> 端点，攻击者可关闭应用<\/li> <\/ol> 5. 安全防护措施<\/h2> 5.1 禁用特定端点<\/h3> 可以禁用不需要的端点：<\/p> endpoints.env.enabled=false <\/code><\/pre> 5.2 选择性启用端点<\/h3> 先禁用所有端点，再启用需要的：<\/p> endpoints.enabled=false endpoints.metrics.enabled=true <\/code><\/pre> 5.3 添加安全依赖<\/h3> 引入 Spring Security 依赖：<\/p> <dependency><\/span> <\/span><\/span> <groupId><\/span>org.springframework.boot<\/groupId><\/span> <\/span><\/span> <artifactId><\/span>spring-boot-starter-security<\/artifactId><\/span> <\/span><\/span><\/dependency><\/span> <\/span><\/span><\/code><\/pre>5.4 配置安全验证<\/h3> 在 application.properties<\/code> 中配置：<\/p> management.port=8099 # 使用独立管理端口 management.security.enabled=true # 启用安全 security.user.name=admin # 设置用户名 security.user.password=admin # 设置密码 <\/code><\/pre> 5.5 网络层防护<\/h3> 将管理端口设置为内网访问<\/li> 通过防火墙限制管理端口的访问来源<\/li> 不在公网暴露管理端口<\/li> <\/ol> 6. 安全建议<\/h2> 必须<\/strong> 引入 security 依赖并启用安全限制<\/li> 必须<\/strong> 设置身份验证机制<\/li> 建议<\/strong> 使用独立的管理端口<\/li> 建议<\/strong> 限制管理端口的网络访问<\/li> 建议<\/strong> 在生产环境中禁用不必要的端点<\/li> 建议<\/strong> 将 Actuator 安全配置纳入代码审计范围<\/li> <\/ol> 7. 参考资源<\/h2> Spring Boot Actuator 官方文档<\/a><\/li> 定期检查 Spring Boot 安全公告，获取最新安全建议<\/li> <\/ul>

Spring Boot Actuator 安全使用指南<\/h1>

2. Actuator 基本使用<\/h2>

5. 安全防护措施<\/h2>

7. 参考资源<\/h2> Spring Boot Actuator 官方文档<\/a><\/li> 定期检查 Spring Boot 安全公告，获取最新安全建议<\/li> <\/ul>

7. 参考资源<\/h2>

Spring Boot Actuator 官方文档<\/a><\/li>
定期检查 Spring Boot 安全公告，获取最新安全建议<\/li> <\/ul>