Nacos未授权访问漏洞

编写版本：v3.5.4
适用版本：v3.5.0+

Nacos未授权访问漏洞

漏洞描述：
2020年12月29日，Nacos官方在github发布的issue中披露Alibaba Nacos 存在一个由于不当处理User-Agent导致的未授权访问漏洞 。通过该漏洞，攻击者可以进行任意操作，包括创建新用户并进行登录后操作

影响版本：Nacos <= 2.0.0-ALPHA.1
漏洞地址：GET http://IP:端口/nacos/v1/auth/users?pageNo=1&pageSize=9
利用方式：POST http://IP:端口/nacos/v1/auth/users?username=test1&password=test1

修改方法：修改Nacos的application.properties配置文件 将nacos.core.auth.enabled=false 改为true，并添加nacos.core.auth.system.type=nacos

### If turn on auth system:
nacos.core.auth.enabled=true
nacos.core.auth.system.type=nacos

修改应用配置文件（不然应用程序启动会报403 错误，注册不上nacos）：
涉及文件：application-dev-nacos.yml/application-test-nacos.yml/application-prod-nacos.yml

# Nacos 注册中心
spring.cloud.nacos.discovery.username=nacos
spring.cloud.nacos.discovery.password=nacos@#2022

涉及文件：各个项目的bootstrap.yml

# Nacos 配置中心
spring.cloud.nacos.config.username=nacos
spring.cloud.nacos.config.password=nacos@#2022