Наружу по HTTP по умолчанию открыт только health. Остальное (env, heapdump, loggers, configprops, threaddump) раскрывает секреты и внутренности — включают осознанно, на отдельном порту (management.server.port) и за авторизацией.
А ещё Открытый /actuator/env — частая находка пентестеров
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Умолчание намеренно консервативное, но разработчики часто ставят exposure.include=* «чтобы всё работало» и забывают откатить — так наружу утекают строки подключения, значения свойств и возможность снять дамп кучи. Правильная схема: включать только нужные эндпоинты, вынести их на management.server.port, закрытый на уровне сети, и дополнительно защитить через Spring Security. Отдельная деталь про health: подробности состояния по умолчанию скрыты, и show-details=always стоит включать только для внутреннего доступа, иначе наружу уйдут адреса баз и брокеров.
Несколько верных вариантов. Подумайте, потом откройте ответ.
Production-эндпоинты, health-проверки и probes, метрики через Micrometer, трассировка и безопасность эндпоинтов.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto