上一节的时候，我们打开了springboot的端点，有一些数据是非常敏感的，比如/shutdown。
这一节，我们要给一些敏感信息加上权限控制。
spring boot本身的security模块就很好用，需要配置的东西很少，但是对于初学者而言，会有很多坑。
一、security配置
1.引入依赖
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency>
引入这个依赖之后，你再访问之前的接口，都访问不了了，需要填写用户名和密码，由于我们还没有做任何配置，这里用户名默认是user,密码在springboot启动的日志里（当然也可以自定义在application配置文件中）
这种默认的方式，无论如何是不太好用的，因此我们需要自定义自己的权限配置。
2.自定义security配置类
自定义的配置类没有几行代码，只有两个方法，先说第二个，我们初始化了一个用户user在内存中，密码是admin,角色是ADMIN，当然这些东西都是可以自己定义的。没有写在配置文件中，因为我觉得那样还是不太安全。
我们对/actuator开始的url访问要求有ADMIN权限，其他的随意访问。
经过这些配置，再访问接口的时候发现，/actuator/**都需要输账号密码了，其他的还是不需要，正是我们想要的结果。
@Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/actuator/**").access("hasRole('ADMIN')") .antMatchers("/**").permitAll(); super.configure(http); } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth .inMemoryAuthentication() .withUser("user").password("admin") .roles("ADMIN"); } }
3.设置端点接口的前缀
spring boot 1.5.4的actuator端口都是基于根目录的，这样我们发现再进行权限控制的时候，写的很麻烦，在配置文件中可以给它加一个前缀
#开启actuator端点,增加前缀 management.security.enabled=false management.context-path=/actuator