安全注意事项

更新: 2026-10-16 15:20:09   字数: 0 字   时长: 0 分钟

Aspire 仪表板能提供非常有价值的洞察，但同时也展示大量敏感信息。这一页说明风险点与应对方式。

仪表板会暴露什么

内容	风险示例
资源环境变量	数据库连接字符串、API Key、第三方令牌可能就在环境变量里。
控制台日志	应用可能打印请求体、SQL、用户标识等。
遥测数据	追踪与日志可能包含敏感运行时信息。
资源操作	有权访问的人可以停止、启动、重启资源。
交互式终端	会话等于在您的主机上获得了 shell。

不要把仪表板暴露到公网

仪表板是开发工具，不是生产监控面板。它默认绑定在 localhost，请不要通过端口映射、反向代理或防火墙规则把它开放给不受信任的网络。

认证模式

前端（浏览器访问）

模式	适用场景
Unsecured	仅限完全隔离的本地环境。不推荐。
BrowserToken	默认。CLI 会打印带令牌的登录地址。
OpenIdConnect	团队共享实例时接入自有身份提供商。

OpenIdConnect 模式支持这些配置：

Dashboard:Frontend:OpenIdConnect:Authority
Dashboard:Frontend:OpenIdConnect:ClientId
Dashboard:Frontend:OpenIdConnect:UsernameClaimType
Dashboard:Frontend:OpenIdConnect:NameClaimType
Dashboard:Frontend:OpenIdConnect:RequiredClaimType
Dashboard:Frontend:OpenIdConnect:RequiredClaimValue

OTLP 接收端

模式	说明
Unsecured	任何能访问端口的人都能发送遥测数据。
ApiKey	通过 PrimaryApiKey / SecondaryApiKey 校验。
Certificate	客户端证书校验，配合 AllowedCertificates。

为什么需要保护写入端？

任何人都能往未认证的 OTLP 端口写数据，等于可以伪造日志和追踪、污染排查结论，甚至通过大量数据撑爆内存。非本地环境一定要开启认证。

资源服务与 API

资源服务（AppHost 与仪表板之间的 gRPC 通道）与 HTTP 遥测 API 同样支持认证：

Dashboard:ResourceServiceClient:AuthMode=ApiKey
Dashboard:ResourceServiceClient:ApiKey=<key>
Dashboard:Api:AuthMode=ApiKey
Dashboard:Api:PrimaryApiKey=<key>

令牌处理

登录地址形如：

https://localhost:17068/login?t=ea559845d54cea66b837dc0ff33c3bd3

t 后面的就是令牌。

令牌等同于凭据

• 不要提交到版本库（也不要贴进 README、Issue、截图）。
• 不要粘贴到公开聊天工具。
• 在脚本里通过环境变量传入，不要硬编码。

检查清单

在把仪表板用于任何共享环境之前，请确认：

• [ ] 前端认证不是 Unsecured。
• [ ] OTLP 接收端开启了 ApiKey 或 Certificate。
• [ ] 资源服务与 API 开启了认证。
• [ ] 仅绑定到受信任的网络接口，未对公网开放。
• [ ] 令牌通过环境变量或密钥管理系统下发，未写进代码与仓库。
• [ ] 遥测上限（Dashboard:TelemetryLimits:*）已按环境规模调整。
• [ ] 已确认应用日志中不含不该进入日志的敏感内容。

下一步

• 仪表板配置
• 独立运行仪表板
• 遥测与 OpenTelemetry