修复SpringBoot Actuator未授权访问遇到的问题

最新推荐文章于 2025-07-09 19:30:10 发布

web13116256725

最新推荐文章于 2025-07-09 19:30:10 发布

阅读量3.1k

点赞数 1

CC 4.0 BY-SA版权

分类专栏：面试学习路线阿里巴巴文章标签： spring boot java 运维 stm32 servlet

本文链接：https://blog.csdn.net/web13116256725/article/details/126800629

文章讲述了在SpringBoot Actuator出现未授权访问问题时，如何进行安全性修复。作者分析了风险，提出了三种解决方案，包括禁用特定接口、排除暴露端点和启用security验证。在实践中，由于微服务设计不合理，最终选择了禁用/env接口的方案，成功解决了安全问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

问题场景：线上页面安全测试反馈存在SpringBoot Actuator未授权访问问题。简单说就是访问https://xxx.xx.x/actuator/env（xxx.xx.x，页面调用接口域名）时，会返回全部环境属性。

****风险分析：****Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计等。在 Actuator 启用的情况下，如果没有做好相关权限控制，非法用户可通过访问默认的执行器端点（endpoints）来获取应用系统中的监控信息。

Actuator 相关信息可以自行检索了解，在查找解决方案时，发现主要有以下几种处理：
1.禁用/env接口

management:
  endpoint:
    env:
      enabled: false

2.可以在配置文件中把暴露出的端点排除掉

#开启所有的端点访问（目前 health和info是默认开启的）
management.endpoints.web.exposure.include=*
#屏蔽掉health端点
management.endpoints.web.exposure.exclude=health

3.引入spring-boot-starter-security依赖

<dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
</dependency>

在application.properties中指定actuator的端口以及开启security功能，配置访问权限验证，这时再访问actuator功能时就会弹出登录窗口，需要输入账

最低0.47元/天解锁文章

200万优质内容无限畅学