spring boot 后端 java 记一次禁用springboot所有Actuator端点以防止对外暴露任何运行时信息的操作

1、漏扫时发现直接访问http://ip:port/actuator会显示很多信息，如下图所示

2、在Spring Boot应用中，Actuator端点提供了丰富的运行时信息以方便监控和故障排查。然而，这些信息如果被不恰当暴露，可能会造成安全风险，需要在服务的配置文件中添加如下配置：

management:

endpoint:

health:

enabled: false # 禁用健康检查端点

info:

enabled: false # 禁用信息端点

# 其他端点也可以这样逐一禁用...

endpoints:

web:

exposure:

include: '' # 如上所述，禁用所有web端点暴露

jmx:

exposure:

include: '' # 禁用所有JMX端点暴露

3、配置结束后验证时，虽然减少了内容的展示，但仍保留了一条内网的信息，这仍然是非常危险的

4、考虑到web是使用nginx配置的，于是问题就变成了配置访问特定页面时显示404，配置如下

server {

listen 80;

server_name example.com;

location /actuator {

# 特定条件，例如请求一个不存在的文件

if (!-e $request_filename) {

# 返回404状态码

return 404;

}

# 其他配置...

}

# 通过添加特定的头部信息来阻止Nginx版本信息显示在错误页面上

error_page 404 @404_custom;

location @404_custom {

# 清除Nginx服务器名称

server_tokens off;

# 添加一个空的内容体来避免显示Nginx默认的错误页面内容

add_header Content-Length 0;

add_header Content-Type text/plain;

return 404 'Not Found';

}

}

问题解决

精彩内容

 您阅读本篇文章共花了：