启用Spring Security后无法访问Jolokia端点问题排查

核心问题定位 #

你遇到的/actuator/jolokia返回401的问题，主要源于以下几点：

1. 手动注册的Jolokia Servlet与Spring Boot Actuator端点路径不匹配：你手动注册的Servlet映射到/jolokia/*，但访问的是/actuator/jolokia，该路径实际由Spring Boot自带的Jolokia端点处理，而非你注册的Servlet。
2. Security配置可能存在的覆盖或匹配问题：虽然配置了/actuator/**允许GET请求，但需确认路径匹配逻辑是否生效，或是否有其他优先级更高的SecurityFilterChain拦截请求。
3. Servlet初始化参数被覆盖：两次调用setInitParameters导致DEBUG配置丢失，影响调试排查。

解决方案 #

方案一：使用Spring Boot自动集成的Jolokia（推荐）

Spring Boot Actuator已内置Jolokia支持，无需手动注册Servlet，只需确保依赖和配置正确即可：

1. 移除手动注册的ServletRegistrationBean：删除自定义的jolokia() Bean。
2. 确认依赖正确：

<!-- Spring Boot Actuator -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-actuator</artifactId>
</dependency>
<!-- Jolokia核心依赖 -->
<dependency>
    <groupId>org.jolokia</groupId>
    <artifactId>jolokia-core</artifactId>
</dependency>

3. 验证Security配置：确保AUTH_WHITELIST确实包含"/actuator/**"，且请求方式覆盖所需的方法（Jolokia常用POST执行操作，若需支持需添加POST权限）：

// 修改SecurityFilterChain中的授权规则
.authorizeHttpRequests(requests -> requests
        .requestMatchers(HttpMethod.GET, 
            Stream.concat(Arrays.stream(AUTH_WHITELIST), Arrays.stream(OPEN_API_WHITELIST))
                .toArray(String[]::new))
        .permitAll()
        // 允许Jolokia的POST请求
        .requestMatchers(HttpMethod.POST, "/actuator/jolokia/**")
        .permitAll()
        .anyRequest().authenticated())

方案二：保留手动注册的Servlet（自定义场景）

若需手动控制Jolokia Servlet，需调整映射路径并避免与Actuator端点冲突：

1. 调整Servlet映射路径：将Servlet映射到/actuator/jolokia/*，并合并初始化参数：

@Bean
public ServletRegistrationBean<AgentServlet> jolokia() {
    ServletRegistrationBean<AgentServlet> jolokiaServlet = new ServletRegistrationBean<>(new AgentServlet(), "/actuator/jolokia/*");
    jolokiaServlet.setLoadOnStartup(0);
    jolokiaServlet.setAsyncSupported(true);
    // 合并初始化参数，避免覆盖
    jolokiaServlet.setInitParameters(Map.of(
            ConfigKey.DEBUG.getKeyValue(), "true",
            ConfigKey.AGENT_DESCRIPTION.getKeyValue(), "Spring Servlet Jolokia Agent"
    ));
    return jolokiaServlet;
}

2. 禁用Spring Boot自带的Jolokia端点：在application.yml中添加：

management:
  endpoint:
    jolokia:
      enabled: false

3. 更新Security授权规则：确保/actuator/jolokia/**的GET和POST请求都被允许（根据需求调整）。

额外排查点

• 检查是否存在多个SecurityFilterChain Bean，若有需通过@Order(1)注解设置当前FilterChain的优先级，确保它先处理请求。
• 验证请求方式：使用POST访问/actuator/jolokia执行操作时，需在Security中允许POST请求。

内容的提问来源于stack exchange，提问作者Wrapper