Spring-Boot-Einstellungen entscheiden, was die Außenwelt erreichen kann: Eine Zeile gibt den heapdump-Endpunkt von Actuator frei (jedes Secret im Speicher, herunterladbar), eine andere löscht Ihre Tabellen bei jedem Neustart (ddl-auto: create-drop). Dieser Skill findet diese und acht weitere Konfigurationsfehler vor dem Deployment und erklärt, wie Sie jeden beheben.

Ihr Agent führt einen Scanner über Ihre application*.properties-, application*.yml- und bootstrap-Dateien aus. Er versteht Escapes und Fortsetzungszeilen in .properties, YAML-Verschachtelung und Listen, Dateien mit mehreren Dokumenten, Profildateien (application-prod.yml) und die flexiblen Namen von Spring (ddl-auto, ddl_auto und ddlAuto sind dasselbe). Dev- und Test-Profilen sind die H2-Konsole und SQL-Logging erlaubt. Er startet Ihre Anwendung nie. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Grund und einem sichereren Ansatz. Secrets werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• J01: ein Passwort, Secret, Token oder API-Schlüssel in der Datei, in einem ${VAR:default}-Fallback oder in einer Datenbank-URL

• J02: Actuator-Endpunkte wie heapdump, env, configprops, shutdown oder gateway, die über HTTP freigegeben sind, oder '*'

• J03: spring.h2.console.enabled=true

• J04: Hibernate ddl-auto create, create-drop oder drop-and-create

REVIEW (vor dem Release prüfen)

• J11: Logging für root, Spring, Hibernate oder HTTP-Client auf DEBUG oder TRACE oder show-sql aktiviert

• J12: Stacktraces, Exception-Namen oder Meldungen in Fehlerantworten

• J13: secure oder http-only beim Session-Cookie deaktiviert

• J14: TLSv1, TLSv1.1 oder SSL erlaubt oder E-Mail so eingestellt, dass jedem Zertifikat vertraut wird

• J15: allowed-origins '*' (Actuator, Spring Cloud Gateway oder Ihre eigenen CORS-Eigenschaften)

• J16: Actuator show-details oder show-values auf always gesetzt

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Grund und sichererem Ansatz für jede Regel

• Riskante und sichere Beispielkonfigurationsdateien (YAML, properties und ein Dev-Profil) sowie der echte Bericht des Scanners zu den riskanten

Grenzen

Er liest die Dateien so, wie sie geschrieben sind, daher werden Umgebungsvariablen, ein Config-Server, @Value-Standardwerte und Sicherheitsregeln im Java-Code nicht berücksichtigt. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 10 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (4 Beispieldateien plus report.md, die echte Scanner-Ausgabe zum riskanten Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, nichts wird irgendwohin gesendet.