Spring Boot Actuator健康端点授权显示详情及配置异常咨询

根因说明 #

你遇到的问题不是框架Bug，属于版本特性差异和配置遗漏：

• 场景1返回全量详情的问题：Spring Boot 2.5.1版本存在已知的配置默认值生效逻辑缺陷，当classpath存在Spring Security但未显式配置Actuator专属安全规则时，management.endpoint.health.show-details的默认值never不会生效，会直接返回全量数据，该问题在2.5.3及之后版本已修复。
• 场景2、3中/actuator/health/custom返回404的问题：Spring Boot 2.4+版本新增了单个健康组件端点的访问控制逻辑，当show-details或show-components设为when-authorized时，匿名用户默认无权访问单个组件的健康端点，框架会直接返回404隐藏端点存在性，需额外配置开启匿名访问单个组件端点的权限。

最终修复方案 #

第一步：调整application.properties配置 #

# 原有基础上新增以下配置，允许所有用户访问单个健康组件端点
management.endpoint.health.allow-individual-components = always
# 保持原有权限控制配置
management.endpoint.health.show-components=when-authorized
management.endpoint.health.show-details=when-authorized

第二步：调整Actuator安全配置 #

你当前的安全配置写的是anyRequest().permitAll()，会导致所有Actuator端点都公开，需调整为仅公开健康端点的基础访问权限，其他Actuator端点按需配置：

@Configuration
@Order(3) // 确保优先级低于你已有的/api/**、/api2/**的安全配置
public static class ActuatorSecurityConfiguration extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
       // 保留你原有配置的认证用户逻辑
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .antMatcher("/actuator/**")
                .csrf().disable() // 不需要CSRF防护建议关闭，避免调用异常
                .authorizeRequests(authorize -> authorize
                        // 仅健康端点允许匿名访问，其他Actuator端点需认证
                        .antMatchers("/actuator/health/**").permitAll()
                        .anyRequest().authenticated()
                )
                .httpBasic();
    }
}

第三步（可选） #

如果你不想升级Spring Boot版本解决场景1的默认值失效问题，手动显式指定management.endpoint.health.show-details=when-authorized即可覆盖失效的默认值逻辑。

效果验证 #

• 匿名访问/actuator/health、/actuator/health/custom：仅返回{"status": "xxx"}精简响应，无详情和组件信息
• 携带正确的认证信息访问上述两个接口：返回全量details、components信息
• 其他Actuator端点（如/actuator/env等）仅认证用户可访问，符合安全要求

内容的提问来源于stack exchange，提问作者Wooff