Spring启动执行器健康指示灯在授权安全时显示详细信息

Question

我在spring boot应用程序（actuator 2.5.1）中实现了HealthIndicator，并尝试稍微调整一下设置。遗憾的是，文档并没有“清楚”地说明默认值。当我挖的时候。。。我经历了不同的行为。你能告诉我这是否是误解/配置错误/错误吗？非常感谢。

如何设置执行器以允许匿名调用两个endpoint：/actuator/health和/actuator/health/custom，并具有简单的响应（无详细信息或组件）。两个endpoint都返回经过身份验证（和授权）的请求的完整详细信息。

不幸的是，Spring Security配置使情况变得复杂。。。我有两个示波器

• /api/**用于JWT auth的SPA应用

@Component
public class CustomHealthIndicator implements HealthIndicator {
    @Override
    public Health health() {
        ...
        return Health
            .status(...)
            .withDetail("detailDto", detailDto)
            .build();
    }
}

默认配置文档管理。endpoint。健康显示详细信息=从不

/actuator/health的预期反应

{“status”：“DOWN”}

缺陷？：真正的响应是细节（agains默认值：never）

{
  "status": "DOWN",
  "components": {
    "blobStorage": {
      "status": "DOWN",
      "details": ...
    },
    "diskSpace": {
      "status": "UP",
      "details": ...
    },
    "custom": {
      "status": "UP",
      "details": ...
    },
    "ping": {
      "status": "UP"
    }
  }
}

/actuator/health/custom的预期响应是没有细节的，但是真正的响应是有细节的。在默认配置中可以访问这些细节，在我看来是一个错误。

management.endpoint.health.show-details=when-authorized

预期的行为是，因为我没有向/actuator/**添加安全性。任何请求都将被视为未经授权的，因此它应该返回json而不提供详细信息。执行器/健康的实际响应与预期一致-仅状态：{“状态”：“下降”}。但HTTP 404没有找到吗？！？为什么禁用整个自定义健康endpoint？如果有的话，我希望HTTP 401未经验证。看起来像个虫子。无论如何，我希望执行器/健康/自定义能够正常工作，但没有细节：{“status”：“DOWN”}

management.endpoint.health.show-components=when-authorized
management.endpoint.health.show-details=when-authorized

并为执行器增加安全性

    @Configuration
    @Order(3)
    public static class ActuatorSecurityConfiguration extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
           ...
        }

        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                    .antMatcher("/actuator/**")
                    .authorizeRequests(authorize -> authorize
                            .anyRequest().permitAll()
                    )
                    .httpBasic();
                    // ?????
        }
    }

endpoint按预期返回认证请求的匿名和完整详细信息。但是endpoint仍然只适用于经过身份验证的请求。对于匿名调用，它返回404 NOT FOUND。我不知道如何正确设置文档中提到的安全性：

如果您已经保护了应用程序并希望始终使用，那么您的安全配置必须允许经过身份验证和未经身份验证的用户访问健康endpoint。




Answer 1

只返回这个并检查状态：

builder.build().getStatus()  OR
builder.build().getStatus().getCode()

我通常这样做，而不是得到所有的细节。

还要保持这样的属性：

management:
  endpoint:
    health:
      sensitive: false
      show-details: never
    dependency-health-check:
      enabled: false
    diskspace:
      enabled: false
    details:
      enabled: false
    application:
      enabled: true

Answer 2

授予对所有执行器内endpoint的访问权限：

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatcher("/actuator/**")
                .permitAll()
                .anyRequest().authenticated()
                .and()
                ...
    }