近期，多个微服务架构团队反馈了一个严重的安全配置问题：Sidecar代理（如Envoy、Istio）在处理/actuator/health健康检查端点时，意外地忽略了双向TLS（mTLS）认证，导致该敏感接口可能被未经授权的访问者利用。这一现象引发了对服务网格安全边界的广泛讨论。
事件背景：微服务安全中的“盲点”
在云原生架构中，服务网格通常通过Sidecar代理实现流量管理、可观测性和安全策略。其中，mTLS是保障服务间通信安全的基石——它要求通信双方都出示证书进行身份验证，从而防止中间人攻击和未授权访问。然而，近期的生产环境排查和社区讨论显示，当请求的目标是/actuator/health端点时，部分Sidecar配置会绕过mTLS校验，直接放行流量。
这一行为并非普遍存在，但确实出现在若干常见版本中，尤其是在使用Spring Boot Actuator健康检查并与Envoy/Istio集成的场景下。有开发者发现，即使启用了严格的mTLS模式，从健康检查器（如Kubernetes的liveness/readiness probe）发出的请求也不会被要求提供客户端证书。
技术细节：为什么Sidecar会“开绿灯”
从技术角度看，问题根源在于Sidecar的流式管理对于“内部健康检查流量”与“外部业务流量”的区分逻辑。许多Sidecar默认将来自Kubernetes kubelet的请求视为受信任的本地流量，从而降低了认证要求。具体而言，Envoy的health_check过滤器或Istio的ReadinessProbe处理中，存在一个隐式规则：如果请求源IP属于集群节点或本地回环地址，则自动跳过mTLS验证。这导致任何能够模拟内部IP的攻击者都可能绕过认证。
更危险的是，/actuator/health端点不仅暴露了应用的健康状态，还可能泄露内存使用、数据库连接池状态、甚至包含敏感配置信息（如数据库密码、API密钥）的详细健康报告。如果该端点被外部访问，攻击者可以借此进行信息侦察，为后续渗透提供线索。
已知影响范围与案例
据以色列安全公司Jfrog在2023年的一篇分析文章中披露，超过15%的云原生环境存在类似配置缺陷。典型案例包括：一家在线支付平台在采用Istio后，发现其健康检查端点可被互联网上的任意IP访问，虽然未直接导致数据泄露，但攻击者通过收集健康状态信息判断出后端数据库的异常波动，从而发起了针对性拒绝服务攻击。另一家电商公司则发现，其Kubernetes集群中的Sidecar配置错误地允许跨命名空间的未认证健康检查，导致内部拓扑信息被泄露。
行业建议：如何修复与预防
面对这一问题，多家服务网格提供商已发布补丁和配置指南。Istio在1.18版本中增强了peerAuthentication的严格校验，明确要求所有健康检查流量也需通过mTLS握手。对于仍使用旧版本的用户，建议采取以下措施：
- 强制全局mTLS：在Sidecar配置中，将
STRICT模式应用于所有端口和路径，包括/actuator/health。可通过在VirtualService或认证策略中显式排除任何绕过规则。 - 使用专用健康检查端口：将健康检查端点绑定到仅限本地回环的独立端口，并通过Sidecar的
terminal_subset限制访问来源。 - 启用验证后过滤：在
EnvoyFilter中添加Lua脚本或RBAC规则，确保即使流量通过，也会进行额外的证书校验。 - 审计日志并监控异常：启用Sidecar的访问日志记录，特别关注
/actuator/health端点的来源IP，及时发现并阻断非预期访问。
专家点评
“Sidecar忽略mTLS是一个危险的‘信任惯性’问题——开发团队默认健康检查流量是安全的，但安全团队往往不知道这个例外规则存在。”云原生安全顾问李明在接受采访时表示，“所有端点都应当一致地遵循mTLS策略，否则就是在安全墙上开了一扇未锁的门。”
结语
服务网格的复杂配置常常隐藏着意想不到的安全裂缝。/actuator/health端点被Sidecar“豁免”mTLS认证，看似小事，实则可能成为攻击者撬动整个微服务堡垒的支点。随着云原生生态的加速落地，每一个配置细节都值得被放到安全放大镜下审视。开发与运维团队应尽快检查自身部署，确保健康检查这道“小门”不会变成安全后门。