建议默认禁止druid-springboot-starter中的stat-view监控页面，防止DB

druid-springboot-starter默认启用内置监控页面，且不开启任何安全措施，如登录页面、访问IP等。

@ConditionalOnProperty(name = "spring.datasource.druid.stat-view-servlet.enabled", havingValue = "true", matchIfMissing = true) public class DruidStatViewServletConfiguration {}

@ConditionalOnProperty(name = "spring.datasource.druid.web-stat-filter.enabled", havingValue = "true", matchIfMissing = true) public class DruidWebStatFilterConfiguration {}

可能产生的后果 开发不注意，导致监控页面在公网露出，监控页面中包含：DB的IP、用户名、库名、表名、字段名及字段值等，进而导致信息泄露。 建议 禁用监控页面 如果禁用监控页面StatFilter注册感觉也是多余的，可以等用户需要配置日志、慢sql的时候，再启用

@Bean
@ConfigurationProperties(FILTER_STAT_PREFIX)
@ConditionalOnProperty(prefix = FILTER_STAT_PREFIX, name = "enabled", matchIfMissing = true)
@ConditionalOnMissingBean
public StatFilter statFilter() {
    return new StatFilter();
}

原提问者GitHub用户ghost