Cách bảo vệ Actuator endpoint trong production?

Endpoint Actuator nhạy cảm (/env, /heapdump, /loggers) phải được bảo vệ — không để public.

3 lớp (kết hợp được):

1. Chỉ expose cái cần + port riêng:

management:
  server.port: 8081                # Actuator trên port riêng
  server.address: 127.0.0.1        # chỉ localhost / mạng nội bộ
  endpoints.web.exposure.include: health, info, prometheus
  endpoint.health.show-details: when-authorized

K8s probe/Prometheus vẫn gọi được trong cluster; internet không vào được port 8081.

2. Spring Security: permitAll() cho /actuator/health + /actuator/info; hasRole("ADMIN") cho /actuator/** còn lại (rule trong SecurityFilterChain).

3. /actuator/shutdown — luôn để tắt (endpoint.shutdown.enabled: false cũng là default); bật lên mà không auth = ai cũng tắt được app.