发表新帖
发表新帖

关于SpringCloud Gateway端点actuator漏洞的通知

Blade
收藏 生成海报
2 3740
admin
admin 2022-03-07 11:50
阅读需：0

大家好，近期收到反馈SpringCloud Gateway的端点bug遭受攻击将会对系统造成较大影响，解决方案如下，请大家尽快处理。


给gateway服务进行nginx反向代理，修复原理主要是取消外网对actuator端点的访问权限，若大家对此端点的地址、api名有变更，请酌情修改下方的配置，若没有更改则可以直接复制。通过如下配置便可以屏蔽外网对端点的访问权限 ，返回码选择 403、404、444均可

if ($request_uri ~ "/actuator") {
    return 403;
}


具体配置截图如下


评论
  • sea4clouds
    sea4clouds
    2022-03-14 17:41
    #对外暴露端口 management: endpoints: # enabled-by-default: false web: exposure: exclude: "*" 这样配置了还是不行
    6 回复
    添加新评论
    发送
  • 北京智鼎优源
    北京智鼎优源
    2022-03-09 09:50
    补充一个方式，修改naocs上blade.yaml文件内容，根据需求关闭暴露的接口 ```yaml endpoints: web: exposure: #原有是暴露所有，根据需求可以考虑开启哪些对外监控接口，如果没需求可以尝试全部关闭也可以。 include: "*" ```
    2 回复
    添加新评论
    发送
登录后回复
热议问题
使用注解配置数据权限 1
服务注册上来了但是报403错误 2
有没有办法在blade-tsdb-influxdb2里也能打印日志？因为在blade-tsdb-influxdb2中加了些自己的业务代码 1
生成的后端代码，swagger调试直接报空指针 DataScopeModel.getResourceCode() 2
项目启动nacos报错，还需要配置什么东西吗 1
连接sqlserver数据库，主键自增长，批量保存失败 1
服务自定义包名，服务注册成功，但swagger中没有api接口 1
partial write: points beyond retention policy dropped=1 1
这个框架怎么修改数据库连接池数量 1
增加新的驱动类 1
官方产品
BladeX 企业级开发平台 BladeX 可视化数据大屏
官方新品
BladeX 物联网开发平台
layui

扫一扫访问 Blade技术社区 移动端

Blade技术社区 2025 © 上海布雷德科技有限公司 沪ICP备2023009528号-1 苏公网安备 32041102000998号