springboot swagger漏洞

### Spring Boot 中 Swagger 安全漏洞及修复

在 Spring Boot 应用程序中集成 Swagger 可以为 API 文档提供便利，但也可能引入一些安全隐患。主要的安全风险包括未授权访问敏感接口文档以及潜在的数据泄露。

#### 未经授权的 API 访问

Swagger UI 默认情况下允许任何网络请求者查看应用程序公开的所有 RESTful 接口定义。如果这些信息被恶意利用，则可能导致攻击面扩大[^1]。

为了防止这种情况发生，建议通过配置来保护 Swagger 资源免受非法访问：

springdoc:
  swagger-ui:
    enabled: false # 关闭默认启用状态

当需要调试或开发时再手动开启此功能，并确保仅限内部网段内的设备可以访问该页面。

#### 数据暴露风险

另一个值得注意的是，在生产环境中运行带有开放规格文件的应用可能会无意间暴露出过多关于系统架构的信息给外部用户。因此应该考虑移除不必要的描述性注解并最小化输出内容至必要程度[^2]。

对于已经部署到线上环境中的项目来说，可以通过设置特定路径前缀的方式隐藏真实的服务端点位置；同时配合 HTTPS 协议加密传输过程以增强安全性。

import org.springframework.context.annotation.Bean;
import io.swagger.v3.oas.models.OpenAPI;
import io.swagger.v3.oas.models.info.Info;

@Configuration
public class OpenApiConfig {

@Bean
public OpenAPI customOpenAPI() {
return new OpenAPI()
        .info(new Info().title("My API").version("v1"));
}
}

上述代码展示了如何自定义 `OpenAPI` 对象以便更好地控制哪些细节应当对外可见[^3]。