如何保护 Spring Boot 配置文件中的敏感信息

开发者（KaiFaX）

全栈工程师开发者 专注于前端，Java/Python/Go/PHP的技术社区

来源：blog.csdn.net/jeikerxiao/article/details/96480136

说明

使用过SpringBoot配置文件的朋友都知道，资源文件中的内容通常情况下是明文显示，安全性就比较低一些。

打开application.properties或application.yml，比如 MySql登陆密码，Redis登录密码和第三方密钥一目了然。本文介绍了一个加解密组件，以提高某些属性配置的安全性。

jasypt一个外国大神写了一个springboot用于加密配置文件中的信息。

GitHub Demo地址

https://github.com/jeikerxiao/spring-boot2/tree/master/spring-boot-encrypt

加密数据用户名和数据库密码

1. 引入包

可以查看最新版本：

https://github.com/ulisesbocchio/jasypt-spring-boot

<dependency> <groupId>com.github.ulisesbocchio</groupId> <artifactId>jasypt-spring-boot-starter</artifactId> <version>2.1.0</version> </dependency>

2. 配置加/解密码

#jasypt加密的密匙 jasypt: encryptor: password:Y6M9fAJQdU7jNp5MW

3. 在测试用例中生成加密的秘密钥匙

@RunWith(SpringRunner.class) @SpringBootTest publicclassDatabaseTest{  @Autowired privateStringEncryptorencryptor;  @Test publicvoidgetPass(){ Stringurl=encryptor.encrypt("jdbc:mysql://localhost:3306/mydb?autoReconnect=true&serverTimezone=GMT+8&useUnicode=true&characterEncoding=utf-8"); Stringname=encryptor.encrypt("root"); Stringpassword=encryptor.encrypt("123456"); System.out.println("databaseurl:" url); System.out.println("databasename:" name); System.out.println("databasepassword:" password); Assert.assertTrue(url.length()>0); Assert.assertTrue(name.length()>0); Assert.assertTrue(password.length()>0); } }

以下是输出加密字符串：

databaseurl:6Ut7iADnHS18cManoFJuNRQ5QEDfcho/F96SOhsHZdXlHYCa5PSrz6rk48I9eHB7qPp5AxDFBk9xi0I1hi6BJ0DSPYA9443gBAk5JDUxDufjUKsdh6knZJLNELmFJzYrDvCu4S0x22MYdZqJDLbyDUU2JcoezCvs156vmsPgU4A= databasename:fmai72yGYKGlP6vTtX77EQ== databasepassword:GPMG7FGV EA9iGkC27u67A==

4. 用原明文替换加密字符串

applicatioin.yml

server: port:8080 spring: #数据库相关配置 datasource: driver-class-name:com.mysql.cj.jdbc.Driver #这里加上后缀防止mysql乱码,serverTimezone=GMT+8设置时区 url:ENC(h20YiPrvNnuuTGjlrE1RVpudMuIQAS6ZPSVo1SPiYVyLen7/TWI5rXVRkStA3MDcoVHQCmLa70wYU6Qo8wwtnsmaXa5jykD3MNhAp5SGJxHsTG5u7tflPdnNmOufyhdsYPxBGWAgibYs9R7yBfrvtwBTRbe096APd3bnG3  Yro=) username:ENC(sT6BztXbJEa71eg3pPGYMQ==) password:ENC(MpSZFJ9ftq 3 VUANZjr0Q==) jpa: hibernate: ddl-auto:update show-sql:true #返回的api接口配置，全局有效 jackson: #如果某一个字段为null，不要回到这个字段 default-property-inclusion:non_null date-format:yyyy-MM-ddHH:mm:ss serialization: write-dates-as-timestamps:false time-zone:GMT 8 #jasypt加密的密匙 jasypt: encryptor: password:Y6M9fAJQdU7jNp5MW

注意: 上面的ENC()是固定写法.

附言

部署时配置salt(盐)值

为了防止salt(盐)泄漏，反解密码.可在项目部署时使用命令传入salt(盐)值:

java -jar xxx.jar  -Djasypt.encryptor.password=Y6M9fAJQdU7jNp5MW

或者在服务器的环境变量里配置,进一步提高安全性。学习资料：Java进阶视频资源

打开/etc/profile文件

vim /etc/profile

在profile文件末尾插入salt(盐)变量

export JASYPT_PASSWORD = Y6M9fAJQdU7jNp5MW

编译，使配置文件生效

source /etc/profile

运行

java -jar -Djasypt.encryptor.password=${JASYPT_PASSWORD} xxx.jar

1. 回复“m”可以查看历史记录；
2. 回复“h”或者“帮助”，查看帮助；
   开发者已开通多个技术群交流学习，请加若飞微信：1321113940  (暗号k）进开发群学习交流
  说明：我们都是开发者。视频或文章来源于网络，如涉及版权或有误，请您与若飞（1321113940）联系，将在第一时间删除或者修改，谢谢！

开发者：KaiFaX面向全栈工程师的开发者
专注于前端、Java/Python/Go/PHP的技术社区