配置文件藏密码？太危险！教你 Spring Boot3 最硬核加密方案

2025-10-11

在企业级开发中，Spring Boot 项目几乎离不开各种外部服务：数据库、缓存、消息队列、支付网关、OAuth2 认证……这些组件的连接凭证和 API Key 通常都被放进 /etc/app/config/application.yml 或 application.properties 中。

然而，一旦处理不当，这些看似普通的配置文件，就可能成为安全体系中的最大破口：代码被提交到 GitHub/Gitee，或者日志误打到了集中式系统（如 ELK），都会让黑客轻松获取敏感信息。

本文将结合常见的开发场景，逐一分析配置文件安全中的典型误区，并给出 Spring Boot3 下更为稳妥的加密与防护实践，帮助开发者构建真正安全的配置管理体系。

误区一：把密码明文写在配置文件里

常见写法：

复制

spring: datasource: url: jdbc:mysql://localhost:3306/demo username: root password: root1234561.2.3.4.5.

在本地调试时这样或许没问题，但如果代码上传到远程仓库，或在云服务器上部署，这些凭证将毫无遮拦地暴露。

正确做法：环境变量注入

复制

spring: datasource: url: jdbc:mysql://localhost:3306/demo username: ${DB_USERNAME} password: ${DB_PASSWORD}1.2.3.4.5.

部署时配置环境变量：

复制

export DB_USERNAME=root export DB_PASSWORD=xxxxxx1.2.

或者使用 Profiles 区分环境：

/etc/app/config/application-dev.yml（开发）/etc/app/config/application-prod.yml（生产）

这样可以在不同环境独立管理敏感信息。

误区二：依赖 .gitignore 忽略敏感配置

一些团队把配置文件加到 .gitignore：

复制

application.yml1.

他们以为这样就万事大吉，但只要有人手滑手动提交，敏感数据依然可能被上传。更麻烦的是，不同环境需要不同配置，容易出现“错环境”的情况。

正确做法：

Git 仓库中只保留通用配置（端口、日志级别等）。敏感信息全部外部化，交给环境变量或配置中心管理（如 Nacos、Apollo、Spring Cloud Config）。生产环境中，推荐配合配置中心的加密存储能力。

误区三：用 Base64 假装加密

错误示例：

复制

spring: datasource: password: YWRtaW4xMjM=1.2.3.

这种写法只是一种编码，而非真正的加密，任何人都能轻松解码。

正确做法：使用真正的加密工具。例如 Jasypt：

复制

encrypt.sh input=123456 password=secretkey1.

得到密文后存放：

复制

spring: datasource: password: ENC(xxxxxxxx)1.2.3.

运行时，由 Jasypt 自动解密。更高级的方式是用非对称加密或配合配置中心的内置加密功能。

误区四：把密钥和密文放一起

错误示例：

复制

jasypt: encryptor: password: secretkey spring: datasource: password: ENC(abcdefg)1.2.3.4.5.6.7.8.

看似加密，其实毫无意义。拿到文件的人同时拿到了密钥和密文，自然可以解密。

正确做法：

绝不把加密密钥写进仓库。通过环境变量传入：

复制

java -Djasypt.encryptor.password=secretkey -jar app.jar1.

或者放进云服务提供的 KMS（Key Management Service），如 AWS KMS、阿里云 KMS、Vault。

误区五：只关注数据库密码

很多开发者只对数据库连接加密，却忽视了其他敏感字段：

第三方支付 API KeyRedis / RabbitMQ / Elasticsearch 密码JWT secretOAuth2 Client clientSecret

正确做法：

统一收集所有敏感信息，纳入同一加密与管理体系。JWT/OAuth2 相关的凭证必须设置过期时间，并且支持快速替换。第三方平台的 Key，务必放入配置中心或环境变量，不要硬编码到 /src/main/java/com/icoderoad/ 的业务逻辑中。

误区六：在日志中打印敏感信息

错误示例：

复制

log.info("Database password: {}", dataSource.getPassword());1.

日志往往会被集中采集，敏感信息就此泄露。

正确做法：

绝不打印明文密码/Token。必须调试时，可以做脱敏处理：

复制

log.info("Database password: {}***{}", password.substring(0, 2), password.substring(password.length() - 2));1.2.3.

误区七：没有密钥轮换与过期机制

有些团队一旦配置好凭证，几年都不改，这会大大增加风险。

正确做法：

定期更换数据库密码、API Key 等。在配置中心统一管理密钥轮换。对 JWT、OAuth2 Token 设置过期时间。建立应急机制：一旦泄露，能立刻切换。

实战示例：结合 Jasypt 在 Spring Boot3 中安全解密

在 com.icoderoad.security.config 包下新增一个配置类：

复制

package com.icoderoad.security.config; import org.jasypt.encryption.StringEncryptor; import org.jasypt.encryption.pbe.StandardPBEStringEncryptor; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; @Configuration public class JasyptConfig { /** * 定义 Jasypt 加密器 * 加密算法可选 PBEWithMD5AndDES、PBEWithHMACSHA512AndAES_256 等 */ @Bean(name = "jasyptStringEncryptor") public StringEncryptor stringEncryptor() { StandardPBEStringEncryptor encryptor = new StandardPBEStringEncryptor(); // 从环境变量中读取加密密钥，避免写死在配置文件 String password = System.getenv("JASYPT_ENCRYPTOR_PASSWORD"); encryptor.setPassword(password); encryptor.setAlgorithm("PBEWithMD5AndDES"); return encryptor; } }1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.17.18.19.20.21.22.23.24.25.26.27.

在配置文件中使用加密后的密文：

复制

spring: datasource: url: jdbc:mysql://localhost:3306/demo username: root password: ENC(1a2b3c4d5e6f)1.2.3.4.5.

运行时，只需通过环境变量传入 Jasypt 密钥：

复制

export JASYPT_ENCRYPTOR_PASSWORD=secretkey java -jar app.jar1.2.

这样，Spring Boot 会自动识别 ENC(...) 的密文并解密，无需手动处理。