Spring Boot 1.5.6预认证场景下Actuator健康端点匿名访问配置问题

我之前在维护Spring Boot 1.5.x项目时，刚好碰到过和你一模一样的问题——用SiteMinder预认证，但Actuator的health端点死活没法匿名访问，总是抛Spring Security相关异常。折腾了好一阵才找到几个靠谱的解决办法，分享给你：

1. 用WebSecurity彻底跳过health端点的安全链 #

这是最关键的一步！很多人会用HttpSecurity里的permitAll()，但这只是允许匿名访问，请求还是会经过整个Spring Security过滤器链，包括你的SiteMinder预认证过滤器，而后者会因为找不到SM_USER头抛出异常。

正确的做法是用WebSecurity.ignoring()让health端点完全跳过所有安全过滤器：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 优先配置忽略规则
    @Override
    public void configure(WebSecurity web) throws Exception {
        // 替换成你的health实际路径，比如带/actuator前缀的话就写/actuator/health
        web.ignoring().antMatchers("/health");
    }

    // 你的SiteMinder预认证核心配置
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .addFilterBefore(siteMinderPreAuthenticationFilter(), RequestHeaderAuthenticationFilter.class);
    }

    // 这里放你定义的SiteMinder预认证过滤器Bean
    @Bean
    public RequestHeaderAuthenticationFilter siteMinderPreAuthenticationFilter() {
        RequestHeaderAuthenticationFilter filter = new RequestHeaderAuthenticationFilter();
        filter.setPrincipalRequestHeader("SM_USER");
        // 其他SiteMinder相关配置...
        return filter;
    }
}

2. 配置Actuator端点的敏感属性 #

Spring Boot 1.5.x里的Actuator端点默认是敏感的，即使你跳过了安全链，也可以额外配置关闭它的敏感属性做双重保险：

application.properties配置： #

# 确保health端点开启
endpoints.health.enabled=true
# 关闭端点的敏感标记，避免额外的安全校验
endpoints.health.sensitive=false
# 如果你的Actuator配置了前缀，记得对应修改路径
# endpoints.health.path=/actuator/health

3. 检查SiteMinder过滤器的注册范围 #

如果你的SiteMinder过滤器是通过FilterRegistrationBean手动注册的，一定要确保它不会拦截/health路径。比如：

@Bean
public FilterRegistrationBean siteMinderFilterRegistration() {
    FilterRegistrationBean registration = new FilterRegistrationBean(siteMinderPreAuthenticationFilter());
    // 只拦截业务接口，排除health
    registration.addUrlPatterns("/api/**", "/admin/**");
    // 或者用exclude参数排除
    // registration.addInitParameter("excludePatterns", "/health");
    return registration;
}

4. 日志排查过滤器链执行情况 #

如果还是有问题，开启Spring Security的调试日志，看看/health请求到底有没有被跳过：

在application.properties里添加：

logging.level.org.springframework.security.web.FilterChainProxy=DEBUG

启动应用后访问/health，看日志里是否有类似Matching Request to ignored pattern /health的记录。如果有，说明忽略规则生效了；如果没有，那就是你的路径匹配写错了（比如多了/actuator前缀没注意）。

内容的提问来源于stack exchange，提问作者Sean Casey