Настройки Spring Boot решают, что доступно внешнему миру: одна строка открывает эндпоинт heapdump в Actuator (все секреты в памяти, доступные для скачивания), другая удаляет ваши таблицы при каждом перезапуске (ddl-auto: create-drop). Этот навык находит такие ошибки и ещё восемь ошибок конфигурации до деплоя и объясняет, как исправить каждую.

Ваш агент запускает сканер по файлам application*.properties, application*.yml и bootstrap. Он понимает экранирование и строки-продолжения в .properties, вложенность и списки YAML, многодокументные файлы, файлы профилей (application-prod.yml) и гибкие имена Spring (ddl-auto, ddl_auto и ddlAuto это одно и то же). Профилям dev и test разрешены консоль H2 и логирование SQL. Он никогда не запускает ваше приложение. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• J01: пароль, секрет, токен или API-ключ в файле, в значении по умолчанию ${VAR:default} или внутри URL базы данных

• J02: эндпоинты Actuator, такие как heapdump, env, configprops, shutdown или gateway, открытые по HTTP, или '*'

• J03: spring.h2.console.enabled=true

• J04: Hibernate ddl-auto create, create-drop или drop-and-create

REVIEW (проверить перед релизом)

• J11: логирование root, Spring, Hibernate или HTTP-клиента на уровне DEBUG или TRACE либо включённый show-sql

• J12: трассировки стека, имена исключений или сообщения в ответах с ошибками

• J13: у сессионной cookie отключены secure или http-only

• J14: разрешены TLSv1, TLSv1.1 или SSL либо почта настроена доверять любому сертификату

• J15: allowed-origins '*' (Actuator, Spring Cloud Gateway или ваши собственные свойства CORS)

• J16: show-details или show-values в Actuator установлены в always

Что входит

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным подходом для каждого правила

• Рискованные и безопасные примеры файлов конфигурации (YAML, properties и профиль dev) и настоящий отчёт сканера по рискованным

Ограничения

Сканер читает файлы в том виде, в каком они написаны, поэтому переменные окружения, сервер конфигурации, значения по умолчанию в @Value и правила безопасности в коде Java не учитываются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 10 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (4 файла примеров и report.md, настоящий вывод сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/) и попросите агента проверить проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, ничего никуда не отправляется.