在Spring Boot应用的运维与监控体系中，Spring Boot Management.endpoints.web.exposure.include是决定监控可见范围的核心配置项。它不仅能帮助开发者灵活管控Actuator端点的对外暴露策略，还能在保障应用数据安全的前提下，为运维团队提供必要的应用运行状态、性能指标与内部结构信息，是构建生产级Spring Boot应用监控体系的关键一环。
一、Spring Boot Actuator与Spring Boot Management.endpoints.web.exposure.include的基础认知
Spring Boot Actuator是Spring生态中专门为生产环境打造的监控与管理模块，内置了数十个功能端点，比如查看应用健康状态的/health、获取运行时性能指标的/metrics、查看Bean实例的/beans、导出内存快照的/heapdump等。但为了避免敏感数据泄露，Actuator默认仅对外暴露/health和/info两个最基础的端点。
而Spring Boot Management.endpoints.web.exposure.include的核心价值，就是让开发者根据业务场景与安全需求，自主指定哪些Actuator端点需要通过Web方式对外暴露。它支持具体端点名称的枚举、通配符*（代表暴露所有端点）以及与exclude配置项配合实现“全量暴露+部分排除”的灵活策略。例如，在鳄鱼java的Spring Boot进阶教程中，就多次提到通过该配置快速搭建适配不同场景的监控体系。
以YAML配置为例，基础的配置格式如下：
management:
endpoints:
web:
exposure:
include: health,info,metrics
该配置表示对外暴露/health、/info和/metrics三个端点，运维人员可以通过HTTP请求直接获取应用的健康状态、自定义信息以及运行时性能指标。
二、Spring Boot Management.endpoints.web.exposure.include的核心配置场景与实操案例
根据不同的应用场景，Spring Boot Management.endpoints.web.exposure.include的配置策略也有所不同，以下是几种常见的生产场景实操案例：
场景一：开发环境全量暴露端点 在开发阶段，为了便于调试与排查问题，通常需要暴露所有Actuator端点，此时可以使用通配符*实现快速配置：
management:
endpoints:
web:
exposure:
include: '*'
但需要注意，该配置仅适用于开发环境，绝对不能直接用于生产环境，否则会导致env、heapdump等敏感端点泄露应用配置、内存快照等核心数据。
场景二：生产环境按需暴露核心监控端点 生产环境中，需要在安全与监控需求之间找到平衡，通常会暴露健康检查、指标监控、日志配置等必要端点，同时排除敏感端点：
management:
endpoints:
web:
exposure:
include: '*'
exclude: heapdump,threaddump,env
该配置表示暴露所有端点，但排除heapdump（内存快照）、threaddump（线程快照）和env（环境配置）三个高风险端点，既满足运维监控需求，又降低了数据泄露风险。鳄鱼java的生产环境监控规范中，就推荐了这种“按需暴露+风险排除”的配置策略。
场景三：配合Spring Security实现端点权限管控 对于需要严格权限控制的企业级应用，还可以将Spring Boot Management.endpoints.web.exposure.include与Spring Security整合，比如暴露所有端点，但只有具备运维角色的用户才能访问敏感端点。例如，通过配置Spring Security的拦截规则，限制/actuator/**路径的访问权限，仅允许内网IP或认证后的运维用户访问。
三、不同Spring Boot版本中配置的差异对比
需要注意的是，Spring Boot Management.endpoints.web.exposure.include是Spring Boot 2.x版本引入的配置项，在Spring Boot 1.x版本中，对应的配置逻辑与属性名称存在较大差异：
在Spring Boot 1.x中，Actuator的端点默认路径为/，而非2.x的/actuator前缀，且默认暴露的端点更多，安全控制依赖于management.security.enabled等属性。如果需要从1.x迁移到2.x，必须注意将原有的security配置替换为2.x中的management.endpoints.web.exposure.include与Spring Security的整合方案，避免出现监控端点无法访问或过度暴露的问题。鳄鱼java的Spring Boot版本迁移专题中，详细梳理了这一变化的适配步骤。
此外，在Spring Boot 2.0到2.7的小版本迭代中，该配置的语法与默认行为也有细微调整，比如部分端点的默认状态变化，因此在配置前建议查阅对应版本的官方文档，或参考鳄鱼java上的版本适配指南。
四、结合监控生态：Spring Boot Management.endpoints.web.exposure.include与Prometheus、Grafana的联动
在现代云原生应用的监控体系中，Actuator通常会与Prometheus、Grafana等工具联动，实现指标的采集与可视化。而Spring Boot Management.endpoints.web.exposure.include是实现这一联动的基础配置：
要让Prometheus能抓取Spring Boot应用的指标，必须在配置中暴露metrics端点：
management:
endpoints:
web:
exposure:
include: metrics
metrics:
export:
prometheus:
enabled: true
配置完成后，Prometheus可以通过http://{host}:{port}/actuator/prometheus路径抓取应用的指标数据，再通过Grafana创建可视化仪表盘，实时监控应用的CPU、内存、请求量等核心指标。鳄鱼java上有完整的Prometheus+Grafana+Spring Boot监控搭建教程，从配置到可视化实现一站式指导。
五、配置中的安全风险与避坑指南
虽然Spring Boot Management.endpoints.web.exposure.include为开发者提供了灵活的配置能力，但如果使用不当，也会带来严重的安全风险，以下是几个常见的避坑要点：
1. 禁止生产环境全量暴露*：全量暴露会导致env端点泄露数据库密码、API密钥等敏感配置，heapdump端点可能被用于内存分析获取核心业务数据，因此生产环境必须通过exclude排除高风险端点。
2. 配合端点路径自定义：可以通过management.endpoints.web.base-path配置将Actuator的基础路径修改为非默认值，比如/management，避免被恶意扫描工具轻易发现，进一步提升安全性。
3. 区分Web与JMX端点：默认情况下，除heapdump外的所有端点都会通过JMX暴露，因此即使Web端配置了严格的暴露策略，也要注意JMX的安全控制，比如限制JMX的访问IP或配置认证。
六、总结与思考
Spring Boot Management.endpoints.web.exposure.include作为Spring Boot Actuator的核心配置，是连接应用开发与运维监控的关键纽带。它既可以帮助开发者在开发阶段快速获取应用内部信息，提升调试效率，也能在生产环境中通过精细化配置，平衡监控需求与数据安全。
作为开发者，我们需要根据应用的业务场景、安全等级与监控需求，灵活调整这一配置的策略，同时结合Spring Security、Prometheus等工具构建完善的监控体系。如果你想学习更多Spring Boot监控的进阶技巧，可以访问鳄鱼java，获取更多实战教程与最佳实践。
最后，不妨思考一下：你的Spring Boot应用当前的监控配置是否合理？是否存在过度暴露或监控不足的问题？如何通过Spring Boot Management.endpoints.web.exposure.include的优化配置，进一步提升应用的运维效率与安全等级？
版权声明
本文仅代表作者观点，不代表百度立场。
本文系作者授权百度百家发表，未经许可，不得转载。
