28.4 Actuator安全

如果Actuator处于使用中,你会发现:

  • 管理的端点是安全的,即使应用端点不安全。
  • Security事件转换为AuditEvents,并发布到AuditService
  • 默认用户有ADMINUSER角色。

Actuator的安全特性可以通过外部配置属性(management.security.*)进行修改。为了覆盖应用访问规则但不覆盖actuator的访问规则,你可以添加一个WebSecurityConfigurerAdapter类型的@Bean,并注解@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER),如果想覆盖actuator访问规则,则注解@Order(ManagementServerProperties.ACCESS_OVERRIDE_ORDER)