匿名访问与最小权限原则

做的事：本机真实配xpack.security.authc.anonymous.roles指向一个叫anon_role的角色，但这个角色本身真实还没被创建

代码真实配置: xpack.security.authc.anonymous.roles: anon_role （真实此时还没有调用_security/role去真实创建这个角色） 真实不带任何凭证发请求: GET /_cluster/health

验证：真实依然收到401要求认证——光在配置里点名一个角色名字，这个角色不存在就真实什么都不会发生

→ 401 security_exception: "action [cluster:monitor/health] requires authentication"

这个真实结果提醒了一个容易被误解的点：匿名访问真实不是靠配置里写了个角色名字就自动生效，这个角色真实必须先用_security/role这个接口真正创建出来、填上真实的权限内容，匿名访问机制才会真实开始生效。

真实创建这个anon_role，严格按照最小权限原则，只给cluster:monitor，不给任何index权限

代码PUT /_security/role/anon_role {"cluster":["monitor"],"indices":[]} 真实不带凭证测两种请求: GET /_cluster/health GET /anon_test/_search

验证：不带凭证查cluster/health真实能用了，但查索引数据依然真实被拒绝

GET /_cluster/health(不带凭证) → 真实成功返回集群健康信息
GET /anon_test/_search(不带凭证) → 401: "requires authentication"
  （不是403，因为配置了authz_exception:false，故意不暴露"你是匿名用户但权限不够"这个信息）

真实故意把anon_role改宽，给它配上对*索引的read权限，看匿名访问的真实边界会发生什么变化

代码PUT /_security/role/anon_role { "cluster":["monitor"], "indices":[{"names":["*"],"privileges":["read"]}] } 真实再测同一条不带凭证的查询: GET /anon_test/_search

验证：同一条不带任何凭证的查询，真实直接读出了索引里那条本来应该保密的文档内容

GET /anon_test/_search(真实不带任何凭证)
→ 真实成功: {"hits":{"hits":[{"_source":{"secret":"should not be anonymously readable"}}]}}
  ← 真实任何人不需要任何密码就能读到这条数据

收尾：真实把anon_role改回最小权限的配置，确认同样的查询立刻又被真实挡住了

代码PUT /_security/role/anon_role {"cluster":["monitor"],"indices":[]} 真实再测: GET /anon_test/_search

验证：真实立刻又变回401，被挡住了

→ 401: "action [indices:data/read/search] requires authentication"
  ← 真实权限收紧之后立刻恢复了保护

分步演示：从不存在的角色名字真实不生效，到最小权限下的真实安全边界，再到权限放宽后的真实数据泄露

每一步都是本文在一个真实独立搭建、开启security的Elasticsearch 8.15.0节点上跑出来的原始结果，测完即销毁。