Spring Boot集成Druid连接池怎么开启监控后台_StatViewServlet与SQL防火墙配置-java教程-PHP中文网

需手动注册StatViewServlet并配置WebStatFilter和WallFilter，确保路径匹配、Filter顺序正确、依赖完整且生产环境兼容。

spring boot集成druid连接池怎么开启监控后台_statviewservlet与sql防火墙配置

怎么配 `StatViewServlet` 让 Druid 监控页面跑起来

Druid 的监控后台不是默认开启的，得手动注册一个 StatViewServlet，否则访问 /druid 就是 404。Spring Boot 2.0+ 后不再自动注册这个 Servlet，必须显式配置。

常见错误是只加了依赖、配了数据源，但没注册 Servlet，结果以为“集成好了”，一试发现页面打不开。

在 application.yml 里加基础配置：

spring:
  datasource:
    druid:
      stat-view-servlet:
        enabled: true
        url-pattern: /druid/*
        login-username: admin
        login-password: admin

但光这样不够 —— Spring Boot 不会自动扫描并注册 StatViewServlet，还得写 Java 配置类：
新建一个 @Configuration 类，用 @Bean 注册 StatViewServlet，注意路径匹配要和 url-pattern 一致；
如果用了 Spring Security，得放行 /druid/** 路径，否则登录页都加载不了（常见卡点）；
别把 login-username 和 login-password 硬编码在配置里，上线前务必改成环境变量或密钥管理方式。

`WallFilter` 开启 SQL 防火墙为什么没生效

开了 WallFilter 却照样能执行 DELETE FROM user WHERE 1=1 这类语句？大概率是没真正启用 Wall 规则，或者规则配置被绕过了。

Druid 的 SQL 防火墙不是开关一开就拦所有危险操作，它依赖两个条件：Filter 必须注册成功 + 对应数据库类型的规则文件被加载。

确保 druid-wall 依赖已引入（Maven 中单独加 com.alibaba.druid:druid-wall）；

在 application.yml 中启用：

spring:
  datasource:
    druid:
      wall:
        enabled: true
        config-file: classpath:wall-filter.properties

config-file 是可选的，但如果没指定，Druid 会按数据库类型加载默认规则（如 mysql 或 oracle），此时必须保证 spring.datasource.url 中包含正确数据库标识（比如含 mysql 字样）；
若自定义规则文件，内容需为 key=value 形式，例如 selectWhereAlone=false，且文件编码必须是 UTF-8（BOM 会导致解析失败）；
注意：WallFilter 只拦截 JDBC 层的 SQL，MyBatis 动态 SQL 若拼接在 Java 里（非 XML/注解原始 SQL），可能逃逸检测。

监控页面进得去，但 SQL 列表为空或实时数据不更新

页面能登录，但看不到慢 SQL、SQL 统计图空白、连接池状态不动 —— 多半是 WebStatFilter 没配对，或者 Filter 顺序错了。

Druid 监控依赖两个 Filter 协同：一个统计 Web 请求（WebStatFilter），一个收集 JDBC 执行（StatFilter）。缺一不可，而且 WebStatFilter 必须在 Spring MVC Filter 链前面。

确认 WebStatFilter 已注册，且 url-pattern 覆盖你的真实请求路径（比如 /*，不是 /druid/*）；
检查是否和其他 Filter（如 Shiro、JWT、Spring Security）冲突 —— 如果 WebStatFilter 被放在它们后面，用户请求可能被提前拦截，导致统计不到；
确认数据源配置中启用了 stat 类型 Filter：
```
spring:
  datasource:
    druid:
      filters: stat,wall
```
（不能漏掉 stat）；
某些场景下（如异步线程里执行 SQL），Druid 默认不追踪上下文，需要手动调用 DruidDataSource.setUseGlobalDataSourceStat(true) 并确保单例共享。

为什么本地 OK，上生产后监控页面 404 或防火墙失效

最常忽略的是 profile 差异和 jar 包冲突。开发时用 spring-boot-devtools 或 IDE 启动，很多配置隐式生效；打包成 jar 后，classloader 行为变了，资源路径、Filter 加载时机全不同。

尤其要注意 druid-spring-boot-starter 版本与 Spring Boot 主版本的兼容性 —— 1.1.x 的 starter 不支持 Boot 2.4+ 的 ServletRegistrationBean 变更，容易导致 StatViewServlet 根本没注册。

检查打包后的 BOOT-INF/lib/ 下是否存在 druid-*.jar 和 druid-wall-*.jar，避免 Maven 依赖传递被 exclude 掉；
确认 application-prod.yml 里没有覆盖掉 druid.stat-view-servlet.enabled=true；
生产环境若用了 Nginx，确认转发时没 strip 掉 /druid/ 路径（比如配置了 rewrite ^/druid/(.*)$ /$1 break; 就会导致 404）；
防火墙规则在生产库名/表名敏感时，建议先用 log-violation=true 和 throw-exception=false 观察日志，而不是直接 true，避免误杀业务 SQL。