近日，不少Grafana用户在社区论坛和运维群中频繁提问：“数据源配置中的Security→Allowed Hosts选项到底在哪里？”这一问题看似简单，却常常让新手甚至部分老用户感到困惑。作为业界广泛使用的开源可视化监控平台，Grafana的数据源安全配置直接关系到系统防护的严密性，理解其具体位置及使用方法至关重要。
安全选项卡的“隐身术”
部分用户反馈，在Grafana的数据源编辑界面中，明明看到了“其他设置”、“高级HTTP设置”等选项，却始终找不到“Security”（安全）这一选项卡。实际上，这并非Grafana的缺陷，而是版本迭代带来的布局差异。在Grafana 8.0及更早版本中，安全选项卡通常直接显示在数据源配置页面的后端区域；而在9.0及更高版本中，该选项卡被整合到了“高级HTTP设置”下的二级菜单中，且默认处于折叠状态。
具体操作路径如下：登录Grafana后，进入“配置”（Configuration）→“数据源”（Data Sources）→选择需要修改的数据源（如Prometheus、InfluxDB等）→点击“设置”（Settings）→在页面底部找到“高级HTTP设置”（Advanced HTTP Settings）并展开。此时，你会看到“安全”（Security）选项卡赫然出现在列表中。点击该选项卡，即可看到“允许的主机”（Allowed Hosts）配置栏。
Allowed Hosts：数据源访问的安全闸门
“允许的主机”是Grafana提供的一项关键安全机制，用于限制数据源请求的来源。默认情况下，该字段为空，意味着Grafana不限制任何主机访问该数据源。这虽然方便，但也带来了潜在安全风险——恶意攻击者可能通过伪造请求，引导Grafana向非预期的后端发送查询，造成数据泄露或服务滥用。
当你需要为某个数据源设置白名单时，只需在“Allowed Hosts”输入框中以逗号分隔的方式列出允许的主机名或IP地址。例如：
localhost, 192.168.1.100, *.example.com
配置完成后，Grafana仅允许来自这些主机的请求向该数据源发起查询，其余来源的请求将被拒绝。这一机制在混合云环境、多租户场景以及需要严格策略控制的金融、医疗等领域尤为实用。
常见误区与回避策略
许多用户反映，即使按照上述路径操作，依然无法生效。经排查，多数问题源于以下几点：
-
版本混淆：Grafana Cloud版本与自托管版本在某些UI细节上存在差异。Cloud版的数据源配置可能通过“集成”（Integration）页面管理，需先确认所属版本对应的官方文档。
-
重启需求：修改Allowed Hosts后，通常无需重启Grafana服务，但部分代理层（如Nginx反向代理）可能缓存了旧配置，导致新规则无法立即生效。建议清除浏览器缓存或使用隐身模式重新加载页面。
-
通配符限制：虽然支持
*通配符匹配子域，但不支持对路径或端口进行限定。若需限制特定端口，需明确写出，如192.168.1.1:9090。 -
与CORS的区别：部分用户误认为Allowed Hosts等同于跨域资源共享（CORS）配置。实际上，前者限制的是Grafana后端发往数据源的请求，后者限制的是浏览器端直接访问数据源。两者属于不同安全层级，需配合使用。
最佳实践：从配置到审计
对于运维团队而言，单纯完成配置远远不够。建议在每次修改后执行以下操作：
- 使用Grafana内置的“探测”（Explore）功能，模拟来自允许列表中的主机发起查询，验证是否正常返回数据；
- 同时尝试从未授权主机发起请求，确认请求被正确拒绝；
- 定期审查Allowed Hosts列表，移除已废弃或不再受信任的主机条目；
- 将配置变更纳入版本控制系统（如Git），便于回滚与审计。
目前，Grafana Labs已在10.0版本中进一步优化了该界面的交互逻辑，新增了“当前生效的主机”实时预览功能，预计将在下一个LTS版本中正式推送。这意味着未来用户将能更直观地掌握数据源的安全边界。
结语
“Security→Allowed Hosts”并非Grafana中最难找的配置项，却是最容易被人忽略的关键防线。随着企业数字化程度加深，监控系统面临的外部攻击面也在扩大。花几分钟明确该设置的位置与用法，或许就能避免一场潜在的数据安全事件。从今天起，不妨检查一下你的Grafana实例，看看是否已经为每一个数据源筑起了这扇安全闸门。