springboot篇---配置文件yaml篇2

本文介绍了SpringBoot中配置文件的应用,重点比较了YAML与XML的语法,强调了YAML的缩进和引号规则,并展示了如何使用YAML进行对象和数组的配置以及如何通过`@ConfigurationProperties`注解实现配置文件的注入。同时讨论了配置文件的优先级问题。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

一、配置文件。

1.语法结构分类:

  • application.properties

    • 语法结构 :key=value
  • application.yml

    • 语法结构 :key:空格 value

**配置文件的作用 :**修改SpringBoot自动配置的默认值,因为SpringBoot在底层都给我们自动配置好了

 2.yaml概述

YAML是 “YAML Ain’t a Markup Language” (YAML不是一种标记语言)的递归缩写。在开发的这种语言时,YAML 的意思其实是:“Yet Another Markup Language”(仍是一种标记语言)这种语言以数据作为中心,而不是以标记语言为重点

  • 对比以前的配置文件xml

xml与yaml对比 

<server>
    <port>8081<port>
</server>
server:
  prot: 8080

 3.yaml注意点总结

  • 空格不能省略

  • 以缩进来控制层级关系,只要是左边对齐的一列数据都是同一个层级的。

  • 属性和值的大小写都是十分敏感的。

注意:

“ ” 双引号,不会转义字符串里面的特殊字符 , 特殊字符会作为本身想表示的意思;

比如 :name: “kuang \n shen” 输出 :kuang 换行 shen

‘’ 单引号,会转义特殊字符 , 特殊字符最终会变成和普通字符一样输出

比如 :name: ‘hl \n lin’ 输出 :hl\n lin

 4.常用格式整理。

1.对象、Map(键值对)
#对象、Map格式
k: 
    v1:
    v2:

在下一行来写对象的属性和值得关系,注意缩进 

 student:
    name: qinjiang
    age: 3

行内写法

student: {name: qinjiang,age: 3}
 

2.数组( List、set ) 

用 - 值表示数组中的一个元素

pets:
 - cat
 - dog
 - pig

或
pets: [cat,dog,pig]

 5.yaml注入配置文件

yaml文件更强大的地方在于,他可以给我们的实体类直接注入匹配值

1、编写实体类

public class Person {
    private String name;
    private Integer age;
    private Boolean happy;
    private Date birth;
    private Map<String,Object> maps;
    private List<Object> lists;
    private Dog dog;
...
}
2.配置yaml
person:
  name: cvzhanshi
  age: 3
  happy: false
  birth: 2000/01/01
  maps: {k1: v1,k2: v2}
  lists:
    - code
    - girl
    - music
  dog:
    name: fdsf
    age: 1

3.注入yaml配置
@Component //注册bean
@ConfigurationProperties(prefix = "person")
public class Person {
}
 4.拓展

其中@ConfigurationProperties作用: 

将配置文件中配置的每一个属性的值,映射到这个组件中;
告诉SpringBoot将本类中的所有属性和配置文件中相关的配置进行绑定
参数 prefix = “person” : 将配置文件中的person下面的所有属性一一对应。

注意:需要导入依赖:

<!-- 导入配置文件处理器,配置文件进行绑定就会有提示,需要重启 -->
<dependency>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-configuration-processor</artifactId>
  <optional>true</optional>
</dependency>

 5.测试

6.配置文件优先级

<think>好的,我现在需要帮助用户解决关于Spring Boot环境中YAML配置未授权访问漏洞的问题。首先,我要理解用户的问题。用户提到POC相关的YAML配置未授权访问,可能需要修复这个漏洞。根据用户提供的引用内容,特别是引用[1]和[2],Actuator未授权访问漏洞是一个相关的问题。 首先,我应该回顾Spring Boot Actuator的作用。Actuator提供了监控和管理应用的端点,比如/env、/health等。如果这些端点未授权访问,攻击者可以获取敏感信息,比如配置数据,包括YAML中的内容。所以,用户的问题可能是指通过Actuator暴露的端点(比如/env)未授权访问,导致YAML配置信息泄露。 接下来,我需要确认修复方案。通常,修复未授权访问漏洞的方法包括:1. 禁用不必要的端点;2. 配置安全权限,限制访问;3. 更新依赖版本;4. 使用安全配置。用户提供的引用[2]中提到了/env端点的公开访问,所以需要针对这些端点进行保护。 另外,用户提到YAML配置文件,可能需要检查配置文件中是否有敏感信息暴露,或者是否错误地启用了Actuator端点。例如,在application.yml中,management.endpoints.web.exposure.include属性可能配置为暴露了过多端点,导致漏洞。 然后,我需要考虑具体的修复步骤。比如,在配置文件中禁用敏感端点,或者引入Spring Security来管理权限。同时,需要验证配置是否正确,是否有效限制了未授权访问。 可能还需要考虑环境的不同,比如生产环境和开发环境的配置差异,确保生产环境中不会开启调试端点。此外,更新Spring Boot版本可能修复已知的安全问题,所以建议用户检查使用的版本是否为最新。 最后,总结解决方案,分点列出步骤,确保用户能够逐步实施修复措施。同时,生成相关问题,帮助用户深入理解漏洞的其他方面,比如如何识别漏洞、其他相关漏洞的修复方法等。</think>### Spring Boot YAML配置未授权访问漏洞修复方案 该漏洞通常由Actuator端点暴露或错误配置导致敏感信息泄露,以下是分步解决方案: #### 一、漏洞成因分析 1. **端点暴露**:Actuator的`/env`端点未授权访问会暴露环境变量和YAML配置内容[^2] 2. **配置缺陷**:在`application.yml`中配置了`management.endpoints.web.exposure.include=*`导致所有端点开放 3. **权限缺失**:未集成Spring Security或未配置端点访问控制 #### 二、修复实施步骤 1. **禁用敏感端点** ```yaml # application.yml management: endpoints: web: exposure: include: health,info # 仅开放必要端点 exclude: env,configprops # 显式排除敏感端点 ``` 2. **配置访问权限** ```java // SecurityConfig.java @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/actuator/**").hasRole("ADMIN") // 强制鉴权 .and().httpBasic(); } } ``` 3. **加密敏感配置** ```yaml # 使用Jasypt加密 spring: datasource: password: ENC(加密后的字符串) ``` 4. **版本升级策略** - 升级至Spring Boot 2.3+版本(默认关闭敏感端点) - 确认Actuator依赖版本无已知漏洞 ```xml <!-- pom.xml --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-actuator</artifactId> <version>2.7.0</version> </dependency> ``` #### 三、验证方案 1. **渗透测试验证** ```bash curl -v http://localhost:8080/actuator/env # 预期返回401 Unauthorized ``` 2. **配置审计** ```bash # 检查生效配置 curl -u admin:password http://localhost:8080/actuator/configprops ``` 3. **安全扫描** 使用OWASP ZAP或Burp Suite进行自动化漏洞扫描
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值