Spring

Spring Boot 的資安對策 — 相依套件 CVE、Actuator 暴露、授權的守法

Spring（Spring Boot）是企業級常青。事故的類型＝(1)相依套件的已知 CVE（像 Log4Shell 那樣被廣泛繼承的地基破口，以正式環境實際版本判定並迅速修補）(2)Actuator 等管理/診斷端點的暴露（資訊外洩、操作）(3)Spring Security 的授權設定疏漏（有驗證但權限檢查太鬆）(4)不安全的反序列化。守法＝對相依套件 CVE 做機器監控並迅速修補、收緊 Actuator/管理面、明示授權、不對不可信資料做反序列化。