Spring Boot Actuator 是一个非常有用的模块，它提供了许多生产就绪的功能，如健康检查、度量指标、审计等。默认情况下，Actuator 的某些端点是受保护的，需要身份验证才能访问。然而，在某些开发或测试环境中，你可能希望禁用这些端点的安全性，以便更方便地进行调试和测试。本文将详细介绍如何在 Spring Boot 中禁用 Actuator 端点的安全性。
1. 什么是 Spring Boot Actuator？
Spring Boot Actuator 是 Spring Boot 的一个子项目，旨在帮助开发者监控和管理其应用程序。它提供了许多生产就绪的功能，如：
- 健康检查：检查应用程序的健康状态。
- 度量指标：收集应用程序的性能数据。
- 审计：记录应用程序的操作日志。
- 环境属性：查看应用程序的配置属性。
- HTTP 跟踪：记录 HTTP 请求和响应。
- 日志级别：动态调整日志级别。
这些功能通过一系列的端点（Endpoints）来实现。端点可以通过 HTTP 或 JMX 访问。
2. 默认的安全设置
为了保护敏感信息，Spring Boot Actuator 默认启用了安全性。这意味着大多数端点都需要身份验证才能访问。默认情况下，只有 health 和 info 端点是公开的，其他端点则需要通过 Spring Security 进行身份验证。
3. 禁用 Actuator 端点安全
在开发或测试环境中，你可能希望禁用 Actuator 端点的安全性，以便更容易地进行调试和测试。以下是如何禁用 Actuator 端点安全的详细步骤。
3.1 添加依赖
首先，确保你的 pom.xml（Maven）或 build.gradle（Gradle）文件中包含 Spring Boot Actuator 的依赖。
Maven：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-actuator</artifactId>
</dependency>
Gradle：
implementation 'org.springframework.boot:spring-boot-starter-actuator'
3.2 配置 application.properties 或 application.yml
在 application.properties 或 application.yml 文件中，添加以下配置来禁用 Actuator 端点的安全性。
application.properties：
# 禁用所有端点的安全性
management.endpoints.web.exposure.include=*
# 禁用 Spring Security 对 Actuator 端点的保护
management.endpoint.health.show-details=always
application.yml：
management:
endpoints:
web:
exposure:
include: "*"
endpoint:
health:
show-details: always
3.3 配置 Spring Security（如果使用）
如果你的应用程序中使用了 Spring Security，还需要进一步配置以确保 Actuator 端点不受保护。在 SecurityConfig 类中，添加以下配置：
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/actuator/**").permitAll() // 允许访问所有 Actuator 端点
.anyRequest().authenticated()
.and()
.formLogin()
.and()
.httpBasic();
}
}
3.4 重启应用程序
完成上述配置后，重启你的 Spring Boot 应用程序。现在，所有的 Actuator 端点都应该可以无需身份验证直接访问。
4. 验证端点
打开浏览器或使用 curl 命令，访问 Actuator 端点以验证配置是否生效。
例如，访问 health 端点：
curl http://localhost:8080/actuator/health
你应该会看到类似以下的 JSON 响应：
{
"status": "UP",
"components": {
"diskSpace": {
"status": "UP",
"details": {
"total": 250790436864,
"free": 202077614080,
"threshold": 10485760
}
},
"ping": {
"status": "UP"
}
}
}
5. 注意事项
虽然禁用 Actuator 端点的安全性在开发和测试环境中非常方便，但在生产环境中这样做可能会带来严重的安全风险。因此，强烈建议在生产环境中启用 Actuator 端点的安全性，并使用适当的身份验证和授权机制来保护这些端点。
结论
通过本文，你已经学会了如何在 Spring Boot 中禁用 Actuator 端点的安全性。这对于开发和测试环境中的调试和测试非常有用。然而，请务必在生产环境中重新启用这些安全性措施，以确保应用程序的安全性。希望本文能帮助你在实际项目中更好地利用 Spring Boot Actuator。
