| 核查 | 反射服务启用状态、端口暴露面 |
|---|---|
| 风险 | 接口结构完整泄露 |
| 修复 | 生产关闭反射或仅限内网管理面 |
检查方式
检查方式
grpcurl -plaintext target.example:443 list 2>&1 | findstr /i "failed reflection"
# 能列出服务即视为反射开启；记录服务数量与名称反射对内部调试价值高：评估替代方案（内部文档站）后再建议关闭。
gRPC 反射服务暴露检查
启用反射的 gRPC 服务可被直接枚举方法与消息结构：核查生产环境反射开关与访问控制。
易错点
- 对列出方法逐个调用测试
- 忽略测试环境反射端口对外可达
数据来源与参考
- gRPC 官方文档（Server Reflection）