starter-security: 默认 permit-paths 未覆盖 /actuator/health/** —— K8s readiness/liveness 探针被 401

[JIAQIA]

源起：hashmatrix-security#4（服务入口级达标）实现期发现。本仓已落临时 workaround（在 application.yml 覆写 hashmatrix.security.permit-paths 增列 /actuator/health/**），现回升根因到 starter-security 统一治理，避免各 service 仓各自发明。

问题

hashmatrix-starter-security（实测 0.2.0）默认放行路径为精确路径：

permitPaths = ["/actuator/health", "/actuator/info", "/actuator/prometheus"]

SecurityFilterChainConfiguration 机制为 requestMatchers(permitPaths.toArray()).permitAll() + anyRequest().authenticated()。Spring Security 的 requestMatchers("/actuator/health") 只精确匹配 /actuator/health，不覆盖其子路径。

影响

K8s 存活/就绪探针访问的是 /actuator/health/liveness 与 /actuator/health/readiness（Spring Boot health group 子端点）。在默认 permit-paths 下，这两个子路径落入 anyRequest().authenticated() → 匿名探针被 401。

凡是「actuator 与业务共享同一安全过滤链」的服务（单端口部署、或管理子上下文复用主链路）都会中招——这是平台级而非单仓问题。

复现

• 任一启用 hashmatrix.security 的服务，未配自定义 permit-paths；
• 匿名 GET /actuator/health → 200；GET /actuator/health/readiness → 401。

建议修法（择一，主仓拍板）

1. 默认 permit-paths 增列 /actuator/health/**（最小改动；/** 在 AntPath/PathPattern 下亦覆盖 /actuator/health 本身）。
2. 或改用 EndpointRequest.to(HealthEndpoint.class) 之类的端点匹配器放行 health 及其分组，避免字符串路径漂移。

无论哪种，都需注意 show-details 策略：放行 health 子端点叠加 show-details: always 会把组件级明细（db/flowable 等）暴露给未认证调用方，建议默认 when_authorized 或在文档中提示部署期收敛。

临时 workaround（各仓现状）

hashmatrix:
  security:
    permit-paths:        # 覆盖默认值需重列默认项（列表整体替换语义）
      - /actuator/health
      - /actuator/health/**
      - /actuator/info
      - /actuator/prometheus

根因修复合入后，各仓可移除此覆写。

[uniquehole]

根因已修复（option 1）。

starter-security：默认 `permitPaths` 增列 `/actuator/health/**`（AntPath/PathPattern 下含 `/actuator/health` 本身）→ K8s 存活/就绪探针 `/actuator/health/{liveness,readiness}` 不再被 `anyRequest().authenticated()` 拒成 401。SecurityFilterChainWebMvcTest 的 `@ValueSource` 增列两条探针子路径，谁退回精确路径即报红，钉死根因。

show-details 收敛（issue 提示的暴露面）：governance `always → when-authorized`（control-plane 早已 when-authorized）→ 放行 health 子端点后不向匿名调用方暴露 db/ES 组件明细。

各服务可移除本地 `hashmatrix.security.permit-paths` workaround（security 仓现存一处冗余覆写，可下次改动时清理；非必须）。

[uniquehole]

libs-java 0.2.2 已发布 —— 本 issue 根因修复已随版本发布，消费方可升级收口。

• hashmatrix-starter-security：默认 permitPaths 增列 /actuator/health/**（commit dcd3d32），随 tag libs-java-v0.2.2 发布到 GitHub Packages（CI run 28009144474 绿；GitHub Release libs-java-v0.2.2 已发）。SecurityFilterChainWebMvcTest 的 @ValueSource 已钉死两条探针子路径，退回精确路径即报红。
• 消费方动作（子仓侧）：BOM import 升至 0.2.2 后，各 service 可移除 application.yml 里手列的 hashmatrix.security.permit-paths workaround；security 仓那处冗余覆写可顺手清（非必须）。