28.4 Actuator安全

如果Actuator处于使用中，你会发现：

  • 管理的端点是安全的，即使应用端点不安全。
  • Security事件转换为AuditEvents，并发布到AuditService。
  • 默认用户有ADMIN，USER角色。

Actuator的安全特性可以通过外部配置属性（management.security.*）进行修改。为了覆盖应用访问规则但不覆盖actuator的访问规则，你可以添加一个WebSecurityConfigurerAdapter类型的@Bean，并注解@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)，如果想覆盖actuator访问规则，则注解@Order(ManagementServerProperties.ACCESS_OVERRIDE_ORDER)。