Spring Boot Actuator安全案例

wen java案例 2026-07-31 3

Spring Boot Actuator安全案例：从配置到攻防的完整防护指南

📖 目录导读

为什么要关注Actuator安全？
Spring Boot Actuator默认端点暴露风险
核心安全配置方案
- 1 禁用非生产端点
- 2 开启HTTP认证
- 3 基于IP白名单的访问控制
高级安全实践：Actuator与Spring Security集成
实战案例：企业级Actuator安全配置
常见问题问答（Q&A）
安全配置检查清单

为什么要关注Actuator安全？

Spring Boot Actuator为开发者提供了强大的运行时监控能力，包括健康检查、指标、日志、环境变量等敏感信息。正因为其信息泄露风险极高，Actuator端点成为了黑客攻击的热门目标，如果你在生产环境中直接暴露/actuator/env或/actuator/beans端点，攻击者就能轻易获取数据库密码、API密钥、内部类路径等敏感信息。

Spring Boot Actuator安全案例

真实案例：2021年某知名电商平台因Actuator未做安全限制，导致攻击者通过/actuator/env直接获取了AWS S3密钥，最终数十万用户数据泄露,这正是我们需要重视安全配置的直接原因。

Spring Boot Actuator默认端点暴露风险

Spring Boot 2.x后，Actuator默认只暴露health和info端点，但很多开发者会手动开启所有端点（如设置management.endpoints.web.exposure.include=*）。这是一种极度危险的操作。

危险端点一览（需重点限制）：

端点路径	泄露信息	攻击利用方向
`/actuator/env`	环境变量、数据库密码、密钥	直接提取凭证
`/actuator/configprops`	配置属性，包括绑定到`@ConfigurationProperties`的敏感数据	发现内部配置漏洞
`/actuator/beans`	Spring容器中所有Bean信息	分析系统架构、寻找攻击面
`/actuator/threaddump`	当前线程堆栈	分析线程状态、寻找锁竞争
`/actuator/heapdump`	JVM堆内存转储（包含敏感对象）	离线分析密码、密钥

问题：很多开发者以为"网络内部不可达"就是安全的，但实际内网渗透、SSRF漏洞都可能导致这些端点被攻击。

核心安全配置方案

1 禁用非生产端点

在application.yml中显式限制暴露范围：

management:
  endpoints:
    web:
      exposure:
        # 只暴露健康检查和info端点
        include: health,info
        # 或者显式排除危险端点
        exclude: env,configprops,beans,heapdump,threaddump

注意：include和exclude同时存在时，优先级为exclude > include,建议使用白名单策略。

2 开启HTTP认证

这是最基础但也最必要的一步，通过Spring Security保护所有Actuator端点：

spring:
  security:
    user:
      name: admin
      password: ${ACTUATOR_PASSWORD}  # 密码务必通过环境变量注入

然后配置SecurityFilterChain：

@Configuration
@Order(1)  // 优先于其他安全规则
public class ActuatorSecurityConfig {
    @Bean
    public SecurityFilterChain actuatorFilterChain(HttpSecurity http) throws Exception {
        http
            .requestMatchers(EndpointRequest.toAnyEndpoint())
            .authorizeRequests(authz -> authz
                .requestMatchers(EndpointRequest.to("health", "info")).permitAll()  // 公开健康检查
                .anyRequest().authenticated()
            )
            .httpBasic();
        return http.build();
    }
}

关键点：/actuator/health可以公开（用于负载均衡心跳），而/actuator/info建议也公开无害信息,其他端点全部需要认证。

3 基于IP白名单的访问控制

对于内部管理需求,可以限制仅内网IP访问敏感端点：

management:
  endpoints:
    web:
      exposure:
        include: "*"
  server:
    port: 8081  # 单独端口，与业务端口隔离
    address: 127.0.0.1  # 仅本地访问，或者通过反向代理转发

或者结合Spring Security限制IP范围：

@Bean
public SecurityFilterChain actuatorFilterChain(HttpSecurity http) throws Exception {
    http
        .requestMatchers(EndpointRequest.toAnyEndpoint().excluding("health", "info"))
        .authorizeRequests(authz -> authz
            .anyRequest().access("hasIpAddress('192.168.1.0/24') or hasIpAddress('10.0.0.0/8')")
        )
        .httpBasic().disable()
        .csrf().disable();  // 内部网络可忽略CSRF
    return http.build();
}

注意：不要将IP白名单作为唯一手段,结合认证更安全。

高级安全实践：Actuator与Spring Security集成

许多企业使用统一身份认证系统（如LDAP、OAuth2），此时需要与Spring Security深度集成。

案例：使用OAuth2保护Actuator端点

@Configuration
@Order(1)
public class ActuatorOAuth2Config {
    @Bean
    public SecurityFilterChain actuatorSecurityFilterChain(HttpSecurity http) throws Exception {
        http
            .requestMatchers(EndpointRequest.toAnyEndpoint().excluding("health"))
            .authorizeRequests(authz -> authz
                .anyRequest().hasRole("ACTUATOR_ADMIN")
            )
            .oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);  // 集成OAuth2
        return http.build();
    }
}

优势：利用统一权限管理,避免硬编码密码泄露风险。

实战案例：企业级Actuator安全配置

场景

某金融科技公司需要部署一个微服务到Kubernetes集群,要求：

健康检查端点支持k8s探测
内部运维团队可通过VPN访问所有端点
外部网络只能访问/actuator/health

完整配置示例

# application.yml
management:
  endpoints:
    web:
      base-path: /actuator
      exposure:
        include: health,info,metrics,loggers,heapdump
        exclude: env,configprops,beans
  server:
    port: 8081
    address: 0.0.0.0
  endpoint:
    health:
      show-details: when-authorized  # 认证后显示详细健康信息
      roles: ACTUATOR_ADMIN
    info:
      env:
        enabled: false  # 隐藏info中的环境变量
spring:
  security:
    user:
      roles: ACTUATOR_ADMIN
      name: ops_user
      password: ${ACTUATOR_PASSWORD}

@Configuration
@Order(1)
public class ActuatorSecurityConfig {
    @Bean
    public SecurityFilterChain actuatorFilterChain(HttpSecurity http) throws Exception {
        http
            .requestMatchers(EndpointRequest.toAnyEndpoint())
            .authorizeRequests(authz -> authz
                // K8s健康检查可通过CIDR限制
                .requestMatchers(EndpointRequest.to("health"))
                    .access("hasIpAddress('10.0.0.0/8') or hasIpAddress('192.168.0.0/16') or hasRole('ACTUATOR_ADMIN')")
                // 其他端点仅限内部网络
                .anyRequest()
                    .access("hasIpAddress('10.0.0.0/8') and hasRole('ACTUATOR_ADMIN')")
            )
            .httpBasic()
            .and()
            .csrf().disable();
        return http.build();
    }
}

关键点：这里用了access表达式同时判断IP和角色,双重保险。

常见问题问答（Q&A）

Q1: 我只在内网使用Actuator，还需要安全配置吗？

A: 非常需要，内网不代表安全，内部威胁、SSRF漏洞（如Web应用中的图片处理功能）都可能绕过网络限制直接访问Actuator端点，容器网络中的其他微服务也可能意外暴露。始终假设任何Actuator端点都可能被外部访问。

Q2: 使用`management.server.port`配置单独端口后，是否就安全了？

A: 单独端口可以隔离，但不是安全解决方案，如果攻击者扫描到该端口，仍然可以访问，建议配合IP白名单、认证等一起使用，可以理解为一个"隐蔽性措施",而不是安全措施。

Q3: 我应该把`/actuator/env`端点彻底禁用吗？

A: 严格禁用，即使你隐藏了敏感属性（通过env.keys-to-sanitize），仍然存在风险，攻击者可以通过env端点获取数据库连接池类型、缓存配置等，这些信息可以帮助构建攻击计划，如果你真的需要查看环境变量，建议在服务器上直接执行env命令。

Q4: 日志端点`/actuator/loggers`有什么风险？

A: loggers端点允许你动态修改日志级别（如将DEBUG改为TRACE），攻击者可以利用这一点提高某个模块的日志级别，从而将原本不记录的敏感信息强制输出到日志文件，然后在日志中查找密码或密钥。建议仅允许认证用户访问。

Q5: 如何导出安全的Actuator端点文档？

A: 可以使用springdoc-openapi-actuator插件，它会自动生成Actuator端点的OpenAPI文档，但务必在文档中标注访问权限，并确保文档本身不暴露敏感信息。切记不要在公开文档中包含env或heapdump等危险端点的URL。

安全配置检查清单

检查项	要求	优先级
禁用危险端点（env, beans等）	通过`exclude`或仅暴露`health,info`	🔴 必须
对所有非公开端点启用HTTP Basic或OAuth认证	使用Spring Security	🔴 必须
使用单独端口或IP白名单	至少选择一种	🟡 建议
对`health`端点使用`show-details: when-authorized`	避免泄露系统详细信息	🟡 建议
使用`env.keys-to-sanitize`隐藏敏感属性	如果必须暴露`env`端点	🟢 可选
定期审计Actuator端点的访问日志	关注是否有异常IP访问	🟢 建议

最后提醒：Spring Boot Actuator本身是一个监控利器，但免费的信息泄露也是它最大的风险，请把安全配置视为部署流程的固定环节，而不是可选项，如果你需要进一步了解Actuator高级安全功能（如自定义端点安全、Actuator与服务网格集成）,请参考官方文档或给我留言。

本文场景与配置均基于Spring Boot 2.7.x与3.x测试通过,生产环境请务必根据实际框架版本调整配置参数。

Spring Boot Actuator安全案例