JavaMelody配置指定IP访问/monitoring路径遇权限禁止问题求助

当然支持特定IP访问限制啦！你遇到的"Forbidden access"提示，大概率是配置的细节没踩对，我来帮你一步步梳理正确的配置姿势：

1. 先确认配置位置是否正确 #

你得把allowed-addr-pattern的<init-param>放在JavaMelody的<filter>配置块内部，不能随便扔在web.xml的其他位置。正确的结构应该是这样的：

<filter>
    <filter-name>monitoring</filter-name>
    <filter-class>net.bull.javamelody.MonitoringFilter</filter-class>
    <!-- 就是这里，把IP限制配置放在filter标签里 -->
    <init-param>
        <param-name>allowed-addr-pattern</param-name>
        <param-value>192.168.1.100|10.0.0.5</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>monitoring</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

要是配置位置错了，JavaMelody根本读不到这个参数，自然不会生效。

2. 检查IP匹配的正则格式 #

allowed-addr-pattern的值是正则表达式，所以要符合正则的规则：

• 单个IP直接用|分隔就行，不需要额外加括号（加了也不影响，但没必要），比如192.168.1.100|10.0.0.5
• 注意转义IP里的.：正则里.代表任意字符，所以如果要匹配真实的点，得写成\.，比如192\.168\.1\.100
• 如果要匹配整个网段，比如192.168.1.0/24，对应的正则是192\.168\.1\..*

3. 排查反向代理导致的IP识别问题 #

如果你的应用前面挂了Nginx、Apache这类反向代理，JavaMelody可能拿到的是代理服务器的IP，而不是真实客户端的IP，这时候就算你加了客户端IP到白名单也没用。

解决办法是让JavaMelody读取代理传递的真实IP头（比如X-Forwarded-For），在filter里再加一个初始化参数：

<init-param>
    <param-name>use-x-forwarded-for</param-name>
    <param-value>true</param-value>
</init-param>

这样JavaMelody就会优先从X-Forwarded-For头里获取真实客户端IP，再匹配你的白名单。

4. 验证配置是否加载生效 #

启动应用后，看看JavaMelody的日志，正常情况下会打印类似Allowed address pattern: xxx|xxx的日志。如果看不到这条日志，说明配置没被加载，回去检查filter的配置结构是否正确。

备用方案：结合容器的IP限制 #

如果上面的方法还是不行，你可以直接用Web容器（比如Tomcat）的IP限制功能，给/monitoring路径单独加白名单，双重保险。比如Tomcat可以这么配置：
在web.xml里添加安全约束：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Monitoring Access</web-resource-name>
        <url-pattern>/monitoring/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>monitor-admin</role-name>
    </auth-constraint>
</security-constraint>
<login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>Monitoring Realm</realm-name>
</login-config>
<security-role>
    <role-name>monitor-admin</role-name>
</security-role>

然后在Tomcat的conf/server.xml里添加RemoteAddrValve限制IP：

<Valve className="org.apache.catalina.valves.RemoteAddrValve"
       allow="192.168.1.100|10.0.0.5"/>

同时在conf/tomcat-users.xml里创建对应角色的用户，这样既限制IP又需要账号密码，安全性更高。

内容的提问来源于stack exchange，提问作者LLL RRR