Spring Boot Actuator 分析器

分析 Spring Boot Actuator 配置中的安全漏洞、健康检查完整性、指标暴露情况以及生产就绪状态。审计 Actuator 端点、管理端口配置及自定义健康指示器（Health Indicator）。

使用方式

"审计我的 Spring Boot Actuator 配置"
"检查 Actuator 安全设置"
"审查健康检查端点"
"我的 Actuator 端点是否满足生产环境安全要求？"

工作原理

1. 配置发现

# 查找应用配置文件
find . -name "application*.yml" -o -name "application*.yaml" -o -name "application*.properties" | head -10
# 检查 Actuator 依赖
grep -r "actuator" build.gradle pom.xml 2>/dev/null
# 查找自定义健康指示器
grep -rn "implements HealthIndicator|extends AbstractHealthIndicator" src/ | head -10

2. 端点安全性

关键检查项：

• 哪些端点被暴露至 Web 层？（management.endpoints.web.exposure.include）
• * 通配符会暴露 /env、/beans、/configprops 等端点（含敏感数据！）
• 管理端口与应用端口相同（应分离配置）
• 管理端点是否启用了身份验证
• Actuator 端点的 CORS 配置
• /shutdown 端点是否启用（存在远程关闭风险）

推荐的生产环境配置：

management:
  endpoints:
    web:
      exposure:
        include: health,info,metrics,prometheus
  server:
    port: 8081  # 独立的管理端口
  endpoint:
    health:
      show-details: when-authorized
    shutdown:
      enabled: false

3. 健康检查

• 是否存在数据库连接性检查
• 是否为外部服务配置了健康指示器
• 是否针对业务逻辑实现了自定义健康指示器
• 是否定义了健康检查分组（liveness vs readiness）
• 是否集成 Kubernetes 探针（/actuator/health/liveness、/actuator/health/readiness）
• 是否配置了健康检查超时时间

4. 指标（Metrics）

• 是否已配置 Micrometer 注册中心（如 Prometheus、Datadog、New Relic）
• 是否定义了面向业务 KPI 的自定义指标
• 是否暴露 JVM 指标（内存、GC、线程数）
• 是否采集 HTTP 请求指标（延迟、错误率）
• 若使用 Spring Cache，是否暴露缓存相关指标
• 是否暴露数据库连接池指标

5. Info 端点

• 是否包含构建信息（版本号、时间戳）
• 是否包含 Git 信息（提交哈希、分支名）
• 是否注册了自定义 Info 贡献者（Info Contributor）
• Info 端点是否未暴露敏感数据

输出示例

## Spring Boot Actuator 分析报告

**版本：** Spring Boot 3.3.0 | **Actuator：** 3.3.0

### 🔴 严重问题（2 项）
1. **所有端点均被暴露** — application.yml  
   `management.endpoints.web.exposure.include: "*"`  
   导致 `/env`（含密钥）、`/beans`、`/configprops`、`/heapdump` 等敏感端点公开暴露  
   → 应限制为：health,info,metrics,prometheus

2. **管理端口与应用端口共用** — 未配置独立管理端口  
   Actuator 端点通过对外暴露的 8080 端口可直接访问  
   → 应设置 `management.server.port: 8081`（仅限内部访问）

### 🟡 改进建议（3 项）
3. 健康详情对所有人开放（`show-details: always`）  
   → 建议改为 `when-authorized`
4. 缺少面向外部服务的自定义健康指示器
5. 未配置 Kubernetes 探针所需端点（liveness / readiness 分组）

### ✅ 已遵循的良好实践
- 已禁用 `/shutdown` 端点
- 已配置 Prometheus 指标注册中心
- `/actuator/info` 中已包含 Git 信息与构建信息
- 数据库健康指示器已自动配置