SpringBoot Actuator未授权访问漏洞怎么修复
1.写在前面目前SpringBoot得框架，越来越广泛，大多数中小型企业，在开发新项目得时候。后端语言使用java得情况下，首选都会使用到SpringBoot。在很多得一些开源得框架中，例如:ruoyi若以，这些。不知道是出于什么原因？我们都会在这些框架中得pom文件中找到SpringBootActuator的依赖。嘿，这Actuator估计很多人都没有真真实实使用过，但是就会出现在pom文件中；这样导致，在做一些安全漏洞测试的时候，会出现漏洞问题。例如下面：对于这些漏洞，我们开始修复喽！！！2.问题描述
1.写在前面
目前SpringBoot得框架，越来越广泛，大多数中小型企业，在开发新项目得时候。后端语言使用java得情况下，首选都会使用到SpringBoot。
在很多得一些开源得框架中，例如: ruoyi若以，这些。
不知道是出于什么原因？我们都会在这些框架中得pom文件中找到SpringBoot Actuator的依赖。
嘿，这Actuator估计很多人都没有真真实实使用过，但是就会出现在pom文件中；这样导致，在做一些安全漏洞测试的时候，会出现漏洞问题。
例如下面：
对于这些漏洞，我们开始修复喽！！！
2.问题描述
Actuator是Springboot提供的用来对应用系统进行自省和监控的功能模块，借助于Actuator开发者可以很方便地对应用系统某些监控指标进行查看、统计等。
Actuator 的核心是端点 Endpoint，它用来监视应用程序及交互，spring-boot-actuator 中已经内置了非常多的Endpoint（health、info、beans、metrics、httptrace、shutdown等等），同时也允许我们自己扩展自己的Endpoints。
每个 Endpoint 都可以启用和禁用。要远程访问 Endpoint，还必须通过 JMX 或 HTTP 进行暴露，大部分应用选择HTTP。
好了，Actuator看起来还是挺好的，可以用来监控。不过大部分企业，估计都没咋用过，也就享受不到Actuator的好处了。
Actuator在带来方便的同时，如果没有管理好，会导致一些敏感的信息泄露；可能会导致我们的服务器，被暴露到外网，服务器可能会沦陷。那我们来看一下，会出现什么安全的问题？
3.安全问题
例如，我们可以访问：
http://localhost:7200/actuator/env
看到上面的信息了吗？哇，我们居然能看到数据库连接地址，账号密码等信息。
这些地址如果不加以控制，对于一些有技术基础的人员来说，这不得是一个很严重的漏洞？估计是t0级别的漏洞了。
对于这些，我们要如何进行控制呢？
4.禁止方法
在 llsydn-dev.properties 增加配置如下
management.endpoints.web.exposure.exclude=env,heapdump,threaddump,mappings
这样 env 就被禁止访问了。
然后我们再来访问一下比如：
好了，可以看到访问就出现404了，表示已经禁了。
5.完全禁用Actuator
对于上面的修改，其实已经可以实现禁止了env的方法，也就基本上都能控制到相应的接口信息，基本上也能做到了安全。
但是在做等保安全漏洞扫描的时候，还是会扫出来响应的漏洞，那其实，还是没有解决掉这个漏洞。那我们能不能完全禁止Actuator呢？
答案，肯定是可以的！！！
例如下面这个配置：
# 完全禁用actuator management.server.port=-1
这样配，等保做安全漏洞扫描，就不会扫描出该漏洞了！
springBoot项目常用目录springBoot项目的目录结构及名规范介绍基于SpringBoot开发时的目录结构及命名规范，通过介绍能够为你解决，在实际项目中如何规划目录结构？如何命名目录更规范？各个目录分别代表什么含义？等三个问题。目录说明servicex//项目名|-admin-ui//管理服务前端代码(一般将UI和SERVICE放到一个工程中，便于管理)|-servicex-auth//模块1|-servicex-common//模块2|-servicex-gateway//模块3|-serv
解析SpringBoot和SpringMVC之间的异同SpringBoot和SpringMVC是Java领域中非常重要的开发框架。虽然它们都属于Spring框架的一部分，但是在使用和功能上有一些明显的区别。本文将对SpringBoot和SpringMVC进行比较，解析它们之间的异同。首先，让我们来了解一下SpringBoot。SpringBo
近年来，随着云计算和分布式架构的兴起，微服务架构的应用越来越广泛。而SpringCloud和SpringBoot作为Java开发中的两个重要框架，对于微服务的实现起到了重要的作用。然而，很多人对于它们在微服务领域的不同应用方式还存在一定的疑惑。本文将从不同的角度探索SpringCloud和SpringBoot在微服务中的应用方式。首先，我们来了解一下Spri
SpringBoot与SpringMVC的不同之处在哪里？SpringBoot和SpringMVC是两个非常流行的Java开发框架，用于构建Web应用程序。尽管它们经常分别被使用，但它们之间的不同之处也是很明显的。首先，SpringBoot可以被看作是一个Spring框架的扩展或者增强版。它旨在简化Spring应用程序的初始化和配置过程，以帮助开发人
SpringBoot和SpringMVC都是Java开发中常用的框架，但它们之间有一些明显的差异。本文将探究这两个框架的特点和用途，并对它们的差异进行比较。首先，我们来了解一下SpringBoot。SpringBoot是由Pivotal团队开发的，它旨在简化基于Spring框架的应用程序的创建和部署。它提供了一种快速、轻量级的方式来构建独立的、可执行
SpringBoot和SpringMVC是Java开发中常用的两个框架，它们都是由Spring框架所提供的，但在功能和使用方式上有着一些区别。本文将分别介绍SpringBoot和SpringMVC的特点和区别。一、SpringBoot的特点：简化配置：SpringBoot通过约定优于配置的原则，大大简化了项目的配置过程。它可以自动配置项目所需要的参数，开发人
SpringCloud和SpringBoot是目前Java领域中最热门的开源框架，它们分别提供了一套完善的微服务架构和快速构建应用程序的解决方案。本文将对它们的功能进行比较，并给出选择指南，以帮助读者了解它们的优势和适用场景。SpringBoot是一个用于开发Java应用程序的框架，它提供了一个简化的开发流程，集成了大量常用的功能和组件，减少了开发者的工作量
深入剖析SpringCloud和SpringBoot的异同引言：在构建企业级应用程序时，Spring框架已经成为开发者们的首选。它提供了一种简单而强大的方式来构建独立于平台的应用程序。Spring框架由两个核心模块组成：SpringBoot和SpringCloud。虽然它们都可以帮助开发者快速搭建应用程序，但它们的目标和用途存在一些差异。本文将深入剖析Spr
从架构角度看SpringCloud与SpringBoot的差异引言：在当今的互联网时代，构建分布式系统已经成为了一种必要的需求。而SpringBoot和SpringCloud正是为了满足这个需求而诞生的。尽管它们都是由Spring框架所提供的解决方案，但从架构角度来看，它们存在着一些重要的差异。本文将从架构的角度出发，对SpringBoot和SpringCl
JavaAPI开发中使用SpringBoot的利弊分析随着互联网的快速发展和技术的不断更新迭代，Java技术在开发中的广泛应用引起了人们的重视。而SpringBoot作为一种微服务架构的解决方案，已经逐渐成为Java开发中的热门选择。那么，在JavaAPI开发中使用SpringBoot，到底有哪些利弊呢？下面来分析一下。利：简化开发
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
