SpringBoot Actuator未授权访问漏洞怎么修复
1.写在前面目前SpringBoot得框架，越来越广泛，大多数中小型企业，在开发新项目得时候。后端语言使用java得情况下，首选都会使用到SpringBoot。在很多得一些开源得框架中，例如:ruoyi若以，这些。不知道是出于什么原因？我们都会在这些框架中得pom文件中找到SpringBootActuator的依赖。嘿，这Actuator估计很多人都没有真真实实使用过，但是就会出现在pom文件中；这样导致，在做一些安全漏洞测试的时候，会出现漏洞问题。例如下面：对于这些漏洞，我们开始修复喽！！！2.问题描述
1.写在前面
目前SpringBoot得框架，越来越广泛，大多数中小型企业，在开发新项目得时候。后端语言使用java得情况下，首选都会使用到SpringBoot。
在很多得一些开源得框架中，例如: ruoyi若以，这些。
不知道是出于什么原因？我们都会在这些框架中得pom文件中找到SpringBoot Actuator的依赖。
嘿，这Actuator估计很多人都没有真真实实使用过，但是就会出现在pom文件中；这样导致，在做一些安全漏洞测试的时候，会出现漏洞问题。
例如下面：
对于这些漏洞，我们开始修复喽！！！
2.问题描述
Actuator是Springboot提供的用来对应用系统进行自省和监控的功能模块，借助于Actuator开发者可以很方便地对应用系统某些监控指标进行查看、统计等。
Actuator 的核心是端点 Endpoint，它用来监视应用程序及交互，spring-boot-actuator 中已经内置了非常多的Endpoint（health、info、beans、metrics、httptrace、shutdown等等），同时也允许我们自己扩展自己的Endpoints。
每个 Endpoint 都可以启用和禁用。要远程访问 Endpoint，还必须通过 JMX 或 HTTP 进行暴露，大部分应用选择HTTP。
好了，Actuator看起来还是挺好的，可以用来监控。不过大部分企业，估计都没咋用过，也就享受不到Actuator的好处了。
Actuator在带来方便的同时，如果没有管理好，会导致一些敏感的信息泄露；可能会导致我们的服务器，被暴露到外网，服务器可能会沦陷。那我们来看一下，会出现什么安全的问题？
3.安全问题
例如，我们可以访问：
http://localhost:7200/actuator/env
看到上面的信息了吗？哇，我们居然能看到数据库连接地址，账号密码等信息。
这些地址如果不加以控制，对于一些有技术基础的人员来说，这不得是一个很严重的漏洞？估计是t0级别的漏洞了。
对于这些，我们要如何进行控制呢？
4.禁止方法
在 llsydn-dev.properties 增加配置如下
management.endpoints.web.exposure.exclude=env,heapdump,threaddump,mappings
这样 env 就被禁止访问了。
然后我们再来访问一下比如：
好了，可以看到访问就出现404了，表示已经禁了。
5.完全禁用Actuator
对于上面的修改，其实已经可以实现禁止了env的方法，也就基本上都能控制到相应的接口信息，基本上也能做到了安全。
但是在做等保安全漏洞扫描的时候，还是会扫出来响应的漏洞，那其实，还是没有解决掉这个漏洞。那我们能不能完全禁止Actuator呢？
答案，肯定是可以的！！！
例如下面这个配置：
# 完全禁用actuator management.server.port=-1
这样配，等保做安全漏洞扫描，就不会扫描出该漏洞了！
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
AirBuddy 3 是面向 macOS 的蓝牙外设增强工具，可集中查看 AirPods、Beats 与苹果设备电量，提供快速连接、播放控制、电量提醒、桌面小组件和多台 Mac 外设接力等功能。
AirServer macOS版可把 Mac 转换为无线投屏接收端，通过 AirPlay 或 Google Cast 接收手机、平板和电脑画面，并支持多设备同时连接、高清镜像及会话录制，适合家庭娱乐、课堂教学、会议演示和应用展示。
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
PixTV 是一款在浏览器中使用的 AI 视觉内容创作平台，提供图片、视频、音频、文字生成、AI 分镜、局部重绘、提示词反推和无限画布等工具，适合短剧、漫剧、广告及社交媒体内容制作。
Autodesk Maya 是面向影视、电视、动画和游戏行业的专业三维制作软件，集多边形与 NURBS 建模、角色绑定、关键帧和动作捕捉动画、Bifrost 特效模拟、材质开发及 Arnold 渲染于一体，