Spring Cloud Gateway集成Actuator的安全漏洞和解决方案

import org.springframework.boot.actuate.autoconfigure.security.EndpointRequest;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;
 
@Configuration
@EnableWebFluxSecurity
public class SecurityConfig {
 
    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http
            // 其他配置 ...
            .authorizeExchange()
            .matching(EndpointRequest.to("env", "health", "info")).permitAll()
            .anyExchange().authenticated()
            .and()
            // 其他安全配置 ...
            ;
        return http.build();
    }
}

这段代码演示了如何使用Spring Security对Spring Cloud Gateway的不同端点进行权限控制，确保只有授权的用户可以访问特定的健康检查和环境信息端点，而其他端点（如metrics和httptrace）保持开放，以便于监控和调试。