Spring Boot Misconfiguration: Actuator Endpoint Security Disabled

Spring Boot 应用程序使用 Actuator 端点，无需身份验证。

Spring Boot 应用程序可以配置为部署 Actuator，Actuator 属于 REST 端点，允许用户对应用程序的不同方面进行监控。共有多种不同的内置 Actuator，可能会暴露敏感数据，因而标记为“敏感”。默认情况下，所有敏感 HTTP 端点都将受到保护，因此只有具备 ACTUATOR 角色的用户才能进行访问。

此应用程序禁用敏感端点的身份验证要求：

示例 1：

management.security.enabled=false

或者，将敏感端点标记为非敏感：

示例 2：

endpoints.health.sensitive=false

或者，将自定义 Actuator 设置为非敏感：

@Component
public class CustomEndpoint implements Endpoint<List<String>> {

    public String getId() {
        return "customEndpoint";
    }

    public boolean isEnabled() {
        return true;
    }

    public boolean isSensitive() {
        return false;
    }

    public List<String> invoke() {
        // Custom logic to build the output
        ...
    }
}