如何在Spring Boot中禁用Actuator端点安全性?

本文由 简悦 SimpRead 转码， 原文地址 blog.csdn.net

　　在 Spring Boot 中，禁用 Actuator 端点的安全性可以通过配置来实现。Actuator 端点是 Spring Boot 应用程序的管理和监控端点，它们默认受到 Spring Security 的保护。如果希望完全禁用 Actuator 端点的安全性，我们可以按照以下步骤进行操作：

　　1. 添加 Spring Boot Starter 依赖项 (如果尚未添加)：

　　确保我们的 pom.xml 文件中包含了 Spring Boot Starter 依赖项。通常，我们可以使用以下依赖项：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-actuator</artifactId>
</dependency>

　　2. 创建一个配置类来禁用 Actuator 端点的安全性：

　　我们可以创建一个配置类，以编程方式禁用 Actuator 端点的安全性。在这个配置类中，我们可以使用 @Configuration 注解和 @EnableWebSecurity 注解来配置 Spring Security。

import org.springframework.context.annotation.Configuration;
import org.springframework.boot.actuate.autoconfigure.security.servlet.EndpointRequest;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
 
@Configuration
@EnableWebSecurity
public class ActuatorSecurityConfig extends WebSecurityConfigurerAdapter {
 
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .requestMatchers(EndpointRequest.toAnyEndpoint())
                .permitAll() // 允许所有Actuator端点访问
                .and()
            .csrf()
                .disable(); // 禁用CSRF保护，仅用于演示，不建议在生产中禁用CSRF
    }
}

　　上述配置类中的 configure 方法使用 authorizeRequests() 来配置访问 Actuator 端点时的权限，通过. requestMatchers(EndpointRequest.toAnyEndpoint()) 指定所有 Actuator 端点，然后使用. permitAll() 来允许所有请求访问这些端点。最后，禁用 CSRF 保护以简化示例，但在生产环境中不建议这样做。

　　3. 配置文件中禁用 Actuator 端点的安全性 (可选)：

　　如果我们更喜欢通过配置文件来配置，请在 application.properties 或 application.yml 中添加以下属性：

# 禁用Actuator端点的安全性
management.security.enabled=false

　　以上配置将禁用 Actuator 端点的安全性，允许所有请求访问它们。

　　完成上述步骤后，我们的 Spring Boot 应用程序将禁用 Actuator 端点的安全性，允许任何人访问它们。请注意，这是一个潜在的安全风险，因此只应在开发或受限的环境中使用。在生产环境中，建议根据具体需求对 Actuator 端点进行更精细的安全配置。