Spring配置文件加密实战指南：保护敏感信息不泄露

背景

在Spring开发中，application.properties或application.yml文件经常包含数据库连接、第三方服务密钥等敏感信息。如果这些文件被意外提交到代码仓库或泄露，将造成严重安全隐患。因此，对配置文件中的敏感数据进行加密是至关重要的。

常见加密方案

目前最流行的方案是使用 Jasypt (Java Simplified Encryption) 结合Spring Boot。Jasypt提供了对属性源的加密支持，可以无缝集成到Spring环境中。

实战步骤

1. 添加依赖

在pom.xml中引入Jasypt Spring Boot Starter：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>

2. 配置加密密钥

可以通过环境变量、系统属性或配置文件指定密钥，例如：

jasypt.encryptor.password=${JASYPT_ENCRYPTOR_PASSWORD:mySecretKey}

建议将密钥放在环境变量中，避免硬编码。

3. 生成加密值

使用Jasypt提供的命令行工具或API加密明文值。例如：

java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input="mypassword" password=mySecretKey algorithm=PBEWithMD5AndDES

输出类似：ENC(encryptedDataHere)。

4. 替换配置文件

将配置文件中的明文密码替换为加密字符串：

spring.datasource.password=ENC(encryptedDataHere)

应用启动时，Jasypt会自动解密这些值。

高级用法

可以自定义加密算法、配置前缀后缀（如ENC()），甚至使用自定义的加密器实现。还可以结合Spring Cloud Config实现集中式加密管理。

安全注意事项

• 密钥管理：密钥本身是最高机密，应通过安全渠道传递（如密钥管理服务、K8s secrets）。
• 算法选择：推荐使用强加密算法如PBEWithHMACSHA512AndAES_256，并设置合适的迭代次数。
• 环境隔离：开发环境使用弱加密或明文，生产环境启用加密。

总结

通过对Spring配置文件加密，可以有效防止敏感信息泄露。Jasypt提供了一种简单且强大的方式，适用于绝大多数Spring Boot应用。安全无小事，加密实践应作为开发规范的一部分。