springboot-获取yaml文件的3种方式

本文详细介绍了在SpringBoot应用中如何通过不同的方式加载和解析YAML配置文件,包括使用YamlPropertySourceLoader,@ConfigurationProperties以及直接通过YamlMapFactoryBean获取配置信息的方法。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

springboot-获取yaml文件的3种方式

1. 方法一

   ```java
   //获取单个.yaml数据的值
   //方法一:
   //1.在当前类里面定义属性
   //2.在属性上面使用@Value注解并在括号里面写入定义的属性名
   //3.在定义的属性名要和.yaml 文件里的属性名一致
   @Value("${lesson}")
   private String lesson;
   
    System.out.println(lesson);
   ```

2. 方法二

   ```java
   //方法二:(封装后读取)
   //1.在当前类定义一个Environment类型的属性,并在这个属性的上面加上@Autowired注解
    @Autowired
   private Environment env;
   
   System.out.println(env.getProperty("Books.id"));
   System.out.println(env.getProperty("Books.BookName"));
   System.out.println(env.getProperty("Books.BookPrice"));
   System.out.println(env.getProperty("Books.Stock"));
   System.out.println(env.getProperty("BookName"));
   ```

3. 方法三

```java
//方法三:(封装后读取)
//1.一般用于实体类的获取
//2.要在实体类中标明一个注解:比如 @Component(确定是一个bean对象)
//3.然后再配置一个@ConfigurationProperties(prefix = "books")注解
//4.@ConfigurationProperties:是.yaml文件中的属性
//5、prefix :是获取.yaml文件中的前缀(.yaml 文件的头属性)
//@ConfigurationProperties(prefix = "books")
@Autowired
private Books books;

System.out.println(books);
System.out.println(books.getId());
```

application.yaml

```yaml
#.yaml:数据序列格式化
#注重:数据
# 在冒号的后面要加上空格
#区分大小写

lesson: springboot

hello: hello SpringBoot
server:
  port: 89
logging:
  level:
    root: info


Books:
  id: 1
  BookName: SpringBoot
  BookPrice: 89.9
  Stock: 99

BookName:
  -java
  -spring5
  -mysql
  -mybatis
  -springMVC
  -SpringBoot
```

BookController.java (执行类)

```java
package com.xiao.springbootdemo.controller;

import com.xiao.springbootdemo.daoMain.Books;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.core.env.Environment;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PathVariable;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

/**
 * @Author :信仰
 * @Date :2023/2/25 8:11
 */

@RestController
@RequestMapping("/books")
public class BookController {


    //获取单个.yaml数据的值
    //方法一:
    //1.在当前类里面定义属性
    //2.在属性上面使用@Value注解并在括号里面写入定义的属性名
    //3.在定义的属性名要和.yaml 文件里的属性名一致
    @Value("${lesson}")
    private String lesson;
    @Value("${hello}")
    private String hello;


    //方法二:(封装后读取)
    //1.在当前类定义一个Environment类型的属性,并在这个属性的上面加上@Autowired注解
     @Autowired
    private Environment env;


     //方法三:(封装后读取)
    //1.一般用于实体类的获取
    //2.要在实体类中标明一个注解:比如 @Component(确定是一个bean对象)
    //3.然后再配置一个@ConfigurationProperties(prefix = "books")注解
    //4.@ConfigurationProperties:是.yaml文件中的属性
    //5、prefix :是获取.yaml文件中的前缀(.yaml 文件的头属性)
    //@ConfigurationProperties(prefix = "books")
    @Autowired
    private Books books;



    @GetMapping("/{id}")
    public String getBookId(@PathVariable Integer id){
        System.out.println("id="+id);

        //方法一的输出语句
        System.out.println(lesson);
        System.out.println(hello);


        System.out.println("==========");

        //方法二的输出语句
        System.out.println(env.getProperty("lesson"));
        System.out.println(env.getProperty("Books.id"));
        System.out.println(env.getProperty("Books.BookName"));
        System.out.println(env.getProperty("Books.BookPrice"));
        System.out.println(env.getProperty("Books.Stock"));
        System.out.println(env.getProperty("BookName"));

        System.out.println("==========");

        //方法三的输出语句
        System.out.println(books);
        System.out.println(books.getId());

        return "hello springboot!";
    }


}
```

实体类:

```java
package com.xiao.springbootdemo.daoMain;

import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.stereotype.Component;
import org.springframework.stereotype.Controller;

/**
 * @Author :信仰
 * @Date :2023/2/25 11:35
 */


@ConfigurationProperties(prefix = "books")
@Component

public class Books {
    private Integer id;
    private String BookName;
    private Double BookPrice;
    private Integer Stock;

    public Books() {
    }

    public Books(Integer id, String bookName, Double bookPrice, Integer stock) {
        this.id = id;
        BookName = bookName;
        BookPrice = bookPrice;
        Stock = stock;
    }

    public Integer getId() {
        return id;
    }

    public void setId(Integer id) {
        this.id = id;
    }

    public String getBookName() {
        return BookName;
    }

    public void setBookName(String bookName) {
        BookName = bookName;
    }

    public Double getBookPrice() {
        return BookPrice;
    }

    public void setBookPrice(Double bookPrice) {
        BookPrice = bookPrice;
    }

    public Integer getStock() {
        return Stock;
    }

    public void setStock(Integer stock) {
        Stock = stock;
    }

    @Override
    public String toString() {
        return "Books{" +
                "id=" + id +
                ", BookName='" + BookName + '\'' +
                ", BookPrice=" + BookPrice +
                ", Stock=" + Stock +
                '}';
    }
}
```
<think>好的,我现在需要帮助用户解决关于Spring Boot环境中YAML配置未授权访问漏洞的问题。首先,我要理解用户的问题。用户提到POC相关的YAML配置未授权访问,可能需要修复这个漏洞。根据用户提供的引用内容,特别是引用[1]和[2],Actuator未授权访问漏洞是一个相关的问题。 首先,我应该回顾Spring Boot Actuator的作用。Actuator提供了监控和管理应用的端点,比如/env、/health等。如果这些端点未授权访问,攻击者可以获取敏感信息,比如配置数据,包括YAML中的内容。所以,用户的问题可能是指通过Actuator暴露的端点(比如/env)未授权访问,导致YAML配置信息泄露。 接下来,我需要确认修复方案。通常,修复未授权访问漏洞的方法包括:1. 禁用不必要的端点;2. 配置安全权限,限制访问;3. 更新依赖版本;4. 使用安全配置。用户提供的引用[2]中提到了/env端点的公开访问,所以需要针对这些端点进行保护。 另外,用户提到YAML配置文件,可能需要检查配置文件中是否有敏感信息暴露,或者是否错误地启用了Actuator端点。例如,在application.yml中,management.endpoints.web.exposure.include属性可能配置为暴露了过多端点,导致漏洞。 然后,我需要考虑具体的修复步骤。比如,在配置文件中禁用敏感端点,或者引入Spring Security来管理权限。同时,需要验证配置是否正确,是否有效限制了未授权访问。 可能还需要考虑环境的不同,比如生产环境和开发环境的配置差异,确保生产环境中不会开启调试端点。此外,更新Spring Boot版本可能修复已知的安全问题,所以建议用户检查使用的版本是否为最新。 最后,总结解决方案,分点列出步骤,确保用户能够逐步实施修复措施。同时,生成相关问题,帮助用户深入理解漏洞的其他方面,比如如何识别漏洞、其他相关漏洞的修复方法等。</think>### Spring Boot YAML配置未授权访问漏洞修复方案 该漏洞通常由Actuator端点暴露或错误配置导致敏感信息泄露,以下是分步解决方案: #### 一、漏洞成因分析 1. **端点暴露**:Actuator的`/env`端点未授权访问会暴露环境变量和YAML配置内容[^2] 2. **配置缺陷**:在`application.yml`中配置了`management.endpoints.web.exposure.include=*`导致所有端点开放 3. **权限缺失**:未集成Spring Security或未配置端点访问控制 #### 二、修复实施步骤 1. **禁用敏感端点** ```yaml # application.yml management: endpoints: web: exposure: include: health,info # 仅开放必要端点 exclude: env,configprops # 显式排除敏感端点 ``` 2. **配置访问权限** ```java // SecurityConfig.java @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/actuator/**").hasRole("ADMIN") // 强制鉴权 .and().httpBasic(); } } ``` 3. **加密敏感配置** ```yaml # 使用Jasypt加密 spring: datasource: password: ENC(加密后的字符串) ``` 4. **版本升级策略** - 升级至Spring Boot 2.3+版本(默认关闭敏感端点) - 确认Actuator依赖版本无已知漏洞 ```xml <!-- pom.xml --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-actuator</artifactId> <version>2.7.0</version> </dependency> ``` #### 三、验证方案 1. **渗透测试验证** ```bash curl -v http://localhost:8080/actuator/env # 预期返回401 Unauthorized ``` 2. **配置审计** ```bash # 检查生效配置 curl -u admin:password http://localhost:8080/actuator/configprops ``` 3. **安全扫描** 使用OWASP ZAP或Burp Suite进行自动化漏洞扫描
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值