Spring Boot Actuator未授权访问漏洞修复与安全配置实践

在企业的安全扫描中，基于 Spring Boot 构建的项目常常会暴露出 Actuator未授权访问漏洞。本文将深入探讨此漏洞的成因、风险，并提供从配置到实践的多维度解决方案。

Spring Boot Actuator未授权访问漏洞解析与修复

漏洞描述与风险

当项目引入 spring-boot-starter-actuator 依赖后，默认会暴露一系列监控和管理端点（Endpoint），例如 /info、/beans、/env、/mappings 等。若未进行适当的安全配置，攻击者无需认证即可直接访问这些端点，从而可能泄露敏感的应用程序配置信息、Bean定义、环境变量甚至执行动态属性刷新，构成严重的安全隐患。

从安全最佳实践角度出发，生产环境中通常只应开放必要的端点，如健康检查端点 /health。

解决方案一：通过配置禁用非必要端点

最直接的思路是关闭所有端点，仅开启健康检查端点。

基础配置如下：

endpoints.enabled=false
endpoints.health.enabled=true

配置生效问题与解决

在实际部署中，尤其是在使用 Apollo 等配置中心时，可能会遇到配置不生效的情况。这通常是因为某些启动参数的优先级高于远程配置。

解决方案： 通过应用启动命令参数来强制设置，确保配置生效。

• 本地/命令启动：

  -Dendpoints.enabled=false -Dendpoints.health.enabled=true

• 在启动脚本中：

  java -jar your-app.jar --endpoints.enabled=false --endpoints.health.enabled=true

解决方案二：整合Spring Security进行访问控制

更完善和灵活的方式是集成 Spring Security，为Actuator端点配置访问规则（例如，仅允许内网IP或拥有特定角色的用户访问）。此方案能提供细粒度的权限控制，但涉及代码和配置的改动，本文不作展开，属于标准的网络安全加固实践。

高级场景：针对特定HTTP方法的端点控制

在某些版本或配置下，可能会出现通过GET请求无法访问某个端点，但通过POST请求却能访问的情况（例如 /env 端点）。

此时，需要进行更细粒度的配置来彻底禁用该端点：

# 尝试禁用env端点
endpoints.env.enabled=false
# 更彻底地禁用其POST等方法的访问能力
endpoints.env.post.enabled=false
endpoints.env.refresh.enabled=false

对于Spring Boot 2.x 高版本（通常指2.0及以上），配置前缀变更为 management.endpoint：

# 禁用特定端点
management.endpoint.env.enabled=false

# 另一种全局安全策略：关闭所有默认端点，并设置一个无意义的暴露列表
management.endpoints.enabled-by-default=false
management.endpoints.web.base-path=/disabled # 可选，改变默认路径增加隐蔽性
management.endpoints.web.exposure.include= # 暴露列表为空，即不暴露任何端点
# 然后单独开启health端点
management.endpoint.health.enabled=true
management.endpoints.web.exposure.include=health

掌握这些配置差异对于构建安全的Java微服务应用至关重要。

Spring Eureka 未授权访问漏洞

Eureka Server 作为微服务架构中的注册中心，如果未添加认证措施，攻击者可以直接访问其Web界面（默认端口8761）查看所有注册服务的信息，甚至可以向其中注册虚假服务，导致服务调用混乱。

解决方案

1. 添加认证（推荐）： 为Eureka Server集成Spring Security，增加登录认证。此方案最为安全，但在服务数量多时，需要为所有Eureka Client配置对应的用户名和密码，改动范围较大。
2. 网络层隔离： 在防火墙或安全组策略中，严格限制Eureka Server端口（如8889、8761）的访问来源，仅允许可信的内部网络或运维跳板机访问。这是一种有效的辅助防御手段。