1.Spring Boot 官方文档中文版
2.一文掌握Actuator，审计审计Spring Boot应用监控你想知道的源码都在这里
3.JAVA代码审计-XXE
4.Spring boot——Actuator 详解

Spring Boot 官方文档中文版

       当前版本为2.5.5。

       不断更新中的日志Spring文档。

       总目录如下：

       1. 关于文档、审计审计第一步等。源码

       2. Spring Boot 简介：系统要求、日志jstack源码查看Servlet容器、审计审计安装Spring Boot、源码开发第一个Spring Boot应用程序。日志

       3. 升级到新功能版本（从1.x升级），审计审计升级Spring Boot CLI。源码

       4. 构建系统、日志构建代码、审计审计配置、源码Spring Beans和依赖注入、日志DevTools等。

       5. 配置文件、日志记录、安全性、缓存、Spring集成、测试等。

       6. 监控、指标、osg源码下载github审计等。

       7. 云端部署，Unix应用程序安装。

       8. CLI安装、使用CLI、CLI配置。

       9. Maven插件、Gradle插件、Antlib等。

       . 应用程序开发、配置、嵌入式服务器、数据访问等。

       附录内容包括：

       1. 用于配置应用程序的通用应用程序属性。

       2. 用于描述配置属性的元数据。

       3. Spring Boot提供的自动配置类。

       4. 测试用于测试应用程序切片的自动配置注释。

       5. Spring Boot的可执行JARs、启动器和格式。

       6. Spring Boot管理的依赖项的详细信息。

一文掌握Actuator，Spring Boot应用监控你想知道的都在这里

       大家好，我是numpy底层c源码七哥。

       在《Spring江湖路》第8 回，咱们继续深入探讨Spring Boot的核心特性之一：Actuator。

       1. Actuator介绍与配置

       Actuator是Spring Boot提供的高级监控功能，包括健康检查、审计、指标收集和HTTP跟踪等，帮助我们监控和管理应用。默认情况下，大多数端点被禁用，需配置以启用。

       引入Actuator依赖后，需在应用属性文件中配置以下内容：

       1.1 开启Web端点

       对于SpringBoot应用，启用Actuator监控端点，只需在项目中引入Actuator依赖。

       Gradle构建中添加配置：

       Maven项目中引入依赖：

       配置端点暴露：

       默认端点路径为/actuator/*，可自定义前缀。

       /health端点聚合健康指标，展示应用健康状况。

       2. 配置端点详解

       2.1 查看配置明细

       /beans端点提供Spring上下文中Bean装配情况。

       /configprops端点展示配置属性注入情况。

       /env端点展示应用中可获取的环境属性值。

       2.2 度量指标查询

       /metrics端点返回应用度量指标，如内存、指标源码公式kdj线程、垃圾回收等。

       /httptrace端点提供Web请求详细信息。

       /health端点监控应用健康状况。

       /shutdown端点关闭应用。

       /info端点展示应用信息。

       3. 总结与安全

       通过本文，我们了解了Spring Boot2.x中的Actuator监控端点以及如何使用。在生产环境中，应根据安全需求进行配置。与Spring Security整合以实现安全校验，与Grafana集成以统一展示监控信息。

       掌握Actuator监控指标收集，能有效提升应用管理效率。敬请期待后续关于安全配置和集成实践的深入讨论。

JAVA代码审计-XXE

       XXE攻击：XML外部实体注入的危害与防范

       XXE，全称为XML External Entity注入攻击，源于XML文件的结构特性，当网站允许引用外部实体时，恶意攻击者可利用此漏洞执行任意代码，导致文件读取、系统命令执行、内网探测等风险。数据在线导入源码XML作为结构化的标记语言，用于数据标记和类型定义，文档结构如树形，包含声明、DTD和元素内容。

       解析XML的四种方式：DOM、SAX、JDOM和DOM4J，各有其特点，DOM解析以文档对象模型为基础，SAX则通过事件驱动解析，JDOM和DOM4J提供了更简洁的API。在安全方面，防范XXE攻击的关键在于正确配置解析器，如禁用DocumentBuilderFactory的DOM解析器，以及修复SAXBuilder、SAXParserFactory等。

       环境搭建：在SpringBoot项目中，通过配置和控制器实现漏洞利用，如读取任意文件和内网探测。针对无回显情况，可通过将回显信息发送到远程服务器的日志来获取数据，利用evil.dtd文件进行控制。

       修复措施：修复XML解析库的漏洞，如禁用DocumentBuilderFactory的默认实体处理，以防止恶意代码注入。正确的编码实践和安全配置是防止XXE攻击的关键。

Spring boot——Actuator 详解

       Spring Boot Actuator 模块提供了生产级别的功能，如健康检查、审计、指标收集和 HTTP 跟踪，用于监控和管理 Spring Boot 应用。这个模块通过 HTTP 和 JMX 接口暴露应用内部信息，与外部监控系统如 Prometheus、Graphite、DataDog、Influx、Wavefront 和 New Relic 等整合，提供了出色的仪表板、图形、分析和警报功能，帮助你通过统一友好的界面监视和管理应用程序。Actuator 使用 Micrometer 与外部应用程序监视系统集成，仅需少量配置即可轻松集成。

       在 SpringBoot 1.x 和 2.x 版本中，Actuator 的监控设置存在差异，包括提供的 endpoint 路径和 application.properties 的配置不同。本内容将着重介绍 SpringBoot 2.x 版本的配置与使用。

       要使用 SpringBoot Actuator 的监控功能，首先需要在项目中加入相应的 Maven 依赖。默认情况下，SpringBoot 在运行时会自动开启/actuator/health 和/actuator/info 端点，通过这些端点可以查看应用运行情况。为了更全面地监控应用，可以开启其他端点，但需在 application.properties 文件中进行额外设置。

       访问 http://localhost:/actuator 可以查看暴露出来的端点。

       Spring Boot 提供了多种端点供外部访问，例如 /health 端点用于查看应用健康状态，/metrics 端点则提供应用程序指标数据。Actuator 提供了三大类端点，包含原生端点、自动配置端点和自定义端点。

       需要注意的是，开启额外端点时应考虑安全因素，建议使用 Spring Security 等工具进行端点保护，避免敏感信息泄露。

       在配置中，可以使用 JMX 和 HTTP 方式暴露端点，并根据需求设置安全验证规则。应用的健康信息通常由 ApplicationContext 中的 HealthIndicator Beans 收集，Spring Boot 提供了多种内置的 HealthIndicator 实现，同时也支持自定义实现以满足特定需求。

       健康状态的汇总由 HealthAggregator 负责，根据配置的不同，状态类型会映射到特定的 HTTP 状态码。通过配置，可以禁用某些自动配置的健康指示器或自定义状态类型。

       除了内置的健康状态类型，还可以实现自定义状态类型，并通过 HealthAggregator 进行管理。

       端点的响应 HTTP 状态码反映了整体的健康状态。例如，UP 对应 ，OUT_OF_SERVICE 和 DOWN 对应 。同样，自定义的状态类型也需要配置对应的 HTTP 状态码。

       /metrics 端点提供关键度量指标，如内存、线程、垃圾回收等。可以请求具体指标的详细信息，或通过参数查询特定区域的数据。

       Metrics 提供四种基本度量类型：Gauge、Counter、Timer 和 Summary。每个类型都有其特定用途，如记录瞬时值、计数、计时和事件分布。

       /loggers 端点暴露了程序内部配置的所有 logger 信息，允许动态修改日志等级，适用于修改日志输出级别。

       /info 端点展示了应用信息，包括自定义信息、Git 信息和项目构建信息，主要提供自定义信息部分。

       /beans 端点提供了 Spring 容器中所有 bean 的详细信息，包括别名、类型、单例状态和依赖关系。

       其他端点还包括 /heapdump 和 /threaddump，用于生成 Jvm 堆快照和线程堆栈信息。/heapdump 端点生成堆文件，可在 VisualVM 中查看内存快照。/threaddump 端点则展示线程状态、ID、堆栈等信息。

       优雅关闭 Spring Boot 应用可通过 /shutdown 端点实现，但需在配置中开启。使用此功能时，应考虑安全因素，如定制端点路径、整合 Spring Security 进行安全校验。

       自定义端点可通过 @Endpoint、@JmxEndpoint 或 @WebEndpoint 注解实现，允许在 Bean 中公开方法，支持 JMX 或 HTTP 公开。