Spring Boot Actuator httptrace раскрывает учетные данные пользователя в виде простого текста, если они отправляются в виде параметров запроса - PullRequest
Новая
       11

Spring Boot Actuator httptrace раскрывает учетные данные пользователя в виде простого текста, если они отправляются в виде параметров запроса

0 голосов
/ 25 июня 2019

У меня есть сервер авторизации Spring Boot 2 OAuth2 с включенным приводом.

Когда пользователь входит в систему с именем пользователя и паролем в данных формы, проблем не возникает, учетные данные не отображаются в конечной точке httptrace, посколькуне включает полезную нагрузку.

Однако Spring Security OAuth2 также позволяет передавать имя пользователя и пароль в параметрах запроса.Когда это будет сделано, учетные данные будут отображены в виде простого текста, например: 

{
    "timestamp": "2019-06-25T17:43:25.458807600Z",
    "principal": null,
    "session": null,
    "request": {
        "method": "POST",
        "uri": "http://localhost:8080/oauth/token?grant_type=password&username=joecool&password=s3cret!",
        "headers": {},
        "remoteAddress": null
    },
    "response": {
        "status": 400,
        "headers": {}
    },
    "timeTaken": null
}

Есть ли способ скрыть параметры запроса от конечной точки httptrace?

Просмотр org.springframework.boot.actuate.trace.http.Include Не знаюне вижу записи для этого.

...