На публичном адресе сервиса открывается /debug/pprof
Для отладки в main.go добавили import _ "net/http/pprof", а сервис использует http.DefaultServeMux. Аудит безопасности обнаружил, что https://api.shop.ru/debug/pprof/ доступен из интернета.
Чем это опасно и как правильно?
- Утечка данных и нагрузка; pprof — на внутреннем порту
- Опасности нет: pprof только читает статистику
- Достаточно переименовать путь /debug/pprof
- Нужно удалить pprof из всех сборок навсегда