使用OAuth2身份验证启用Spring Boot健康执行器

Question

我们已经看到了一些与Spring Boot的1.5+版本的健康执行器endpoint相关的问题。经历了其中的一些，我们仍然不知所措。

我们的目标是：

1. 要利用Spring Boot/Spring security对安全筛选器链接的自动配置（即不必完全实现/配置HttpSecurity)
2. 启用安全的运行状况访问（查看应用程序的运行状况信息的完整视图）
3. 启用不安全的运行状况访问（允许endpoint在Kubernetes中充当活性探测器）

我们已经尝试：

null

• 匿名请求/healtendpoint作为不安全的
• 向/healtendpoint发出的经过预身份验证的请求（即包含经过预身份验证的授权：承载...头的请求），该endpoint没有适当的授权或角色来充当不安全的
• 向/healtendpoint发出的经过预身份验证的请求（即包含经过预身份验证的授权：承载...头的请求），该endpoint具有适当的授权或角色，可以作为安全的
运行

我们可以轻松地允许任何请求访问/healt,方法如下：

@Configuration
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  public void configure(WebSecurity web) throws Exception {
    super.configure(web);
    web.ignoring().antMatchers(HttpMethod.GET, "/health", "/info");
  }
}

而这仅仅作为一个准备/活跃度探测是很好的。然而，当用户实际通过身份验证时，它并不能提供查看哪些支持服务可能行为不当的好处。

提前道谢！

Answer 1

我遇到了类似的情况，这在一定程度上起到了作用：为执行器添加一个hacky访问规则，例如:#oauth2.ClientHasRole('role_client')或hasRole('role_anonymon')，它允许为执行器endpoint填充安全上下文（对于经过身份验证的和未经过身份验证的请求），并调整“敏感”执行器endpoint配置。/health在这种情况下应返回匿名的基本信息和身份验证的完整信息，前提是启用管理安全性并将其标记为非敏感。您仍然需要保留筛选器配置。