在Spring Boot項目中，數據庫密碼、API密鑰等敏感信息直接以明文形式寫在application.yml中是非常危險的，這不僅讓配置文件在代碼倉庫中處于“裸奔”狀態(tài)，也為安全審計埋下了隱患。Jasypt（Java Simplified Encryption）作為Spring Boot官方推薦的配置加密方案，用極低的接入成本解決了這一問題。本文將從環(huán)境配置、完整代碼示例到多環(huán)境部署與常見坑點，系統梳理整個加密方案的全流程。

一、為何需要配置文件加密

在application.yml中直接寫入數據庫密碼，實際上相當于把家門鑰匙插在門鎖上。大量安全事件表明，配置文件中的明文憑據已成為企業(yè)數據泄露的第二大來源。常見的安全風險包括：

• 版本控制系統歷史殘留：即使后續(xù)修改了密碼，Git歷史中仍保留舊版本密碼，任何有倉庫訪問權限的人均可通過git log找回。
• CI/CD流水線暴露：部署過程中控制臺打印的配置可能被 日志系統捕獲，導致憑據意外泄露。
• 權限擴散風險：開發(fā)、測試、運維等多個角色均可訪問配置文件，權限管理鏈條越長，泄露風險越大。

Jasypt所遵循的是一種“防御縱深”思想——即便代碼倉庫或配置文件被攻破，攻擊者也拿不到可用的明文密碼。

二、Maven依賴配置與環(huán)境要求

2.1 依賴引入

在pom.xml中添加Jasypt Spring Boot Starter依賴。注意該starter內置了兼容的jasypt-core，無需單獨引入原生Jasypt庫。

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>

2.2 版本兼容性對照表

Jasypt 3.x版本配合Spring Boot 2.4+以上版本使用效果最佳，JDK 8及以上均無兼容問題。

2.3 JDK要求

JDK 8或更高版本均可支持，項目須使用Maven或Gradle構建工具。

三、添加Jasypt配置

在application.yml中添加以下配置，告訴Jasypt使用何種算法和密鑰（用于生成密文）：

jasypt:
  encryptor:
    password: ${JASYPT_ENCRYPTOR_PASSWORD:}  # 從環(huán)境變量讀取，留空則拋出異常
    algorithm: PBEWITHHMACSHA512ANDAES_256  # 推薦的高級加密算法
    iv-generator-classname: org.jasypt.iv.RandomIvGenerator  # 為強算法配置隨機IV生成器

重要：jasypt.encryptor.password絕不應以明文寫入配置文件中并提交到版本控制。上述寫法從環(huán)境變量JASYPT_ENCRYPTOR_PASSWORD中讀取密鑰值，是最安全的生產部署方式。

如果使用的是舊版（PBEWithMD5AndDES）或遇到解密失敗，可能還需補充iv-generator-classname: org.jasypt.iv.NoIvGenerator。

四、生成加密密文的多種方法

4.1 方法一：CLI命令行工具（推薦生產環(huán)境使用）

下載Jasypt JAR包后執(zhí)行以下命令生成密文：

java -cp jasypt-3.0.5.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI \
  input="數據庫明文密碼" \
  password="你的主密鑰" \
  algorithm=PBEWITHHMACSHA512ANDAES_256

輸出結果如BLC3UQBxshlcA9tnMyJL7w==，之后以ENC(密文)的形式放入配置文件中。

4.2 方法二：代碼生成工具類（適合開發(fā)調試）

編寫一個Jasypt工具類，一次性生成密文備用：

import org.jasypt.encryption.pbe.StandardPBEStringEncryptor;
import org.jasypt.encryption.pbe.config.EnvironmentPBEConfig;

public class JasyptUtil {
    public static void main(String[] args) {
        StandardPBEStringEncryptor encryptor = new StandardPBEStringEncryptor();
        EnvironmentPBEConfig config = new EnvironmentPBEConfig();
        
        // 加密算法必須與配置文件中保持一致
        config.setAlgorithm("PBEWITHHMACSHA512ANDAES_256");
        config.setPassword("YOUR_MASTER_SECRET_KEY");
        encryptor.setConfig(config);
        
        String plainText = "123456";
        String cipherText = encryptor.encrypt(plainText);
        System.out.println("密文：" + cipherText);
        System.out.println("解密驗證：" + encryptor.decrypt(cipherText));
    }
}

說明：Jasypt每次調用encrypt()生成的密文不同，但解密后均能得到相同的明文，這是其內部使用了隨機鹽值（salt）的正常行為。

五、將密文寫入數據源配置

拿到密文后，將其放入數據源的密碼字段中：

spring:
  datasource:
    url: jdbc:mysql://localhost:3306/testdb?useSSL=false&serverTimezone=UTC
    username: root
    password: ENC(wDk3zX2h1f9pRq8yLmNk5vJb=)  # 加密后的密文

框架在啟動時會自動識別ENC(…)格式并調用Jasypt解密，無須在業(yè)務代碼中做任何額外處理。如果使用的是Druid連接池，請確保加解密作用于 spring.datasource.password，而非spring.datasource.druid.password，后者可能存在兼容性問題。

六、密鑰管理的安全實踐

生產環(huán)境中，密鑰與密文必須嚴格分離存儲。以下是推薦的安全注入方式：

6.1 方式一：操作系統環(huán)境變量（最普遍）

Linux/macOS（~/.bashrc或~/.zshrc）：

export JASYPT_ENCRYPTOR_PASSWORD=你的強密鑰

Windows：通過“系統屬性 → 環(huán)境變量”添加JASYPT_ENCRYPTOR_PASSWORD。

6.2 方式二：JVM啟動參數

java -Djasypt.encryptor.password=你的強密鑰 -jar your-app.jar

6.3 方式三：Docker容器部署

docker run -e JASYPT_ENCRYPTOR_PASSWORD="你的強密鑰" your-image

或在docker-compose.yml中定義環(huán)境變量塊。

6.4 Kubernetes生產推薦

apiVersion: v1
kind: Secret
metadata:
  name: jasypt-secret
type: Opaque
data:
  password: <base64編碼的密鑰>
---
apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
      - env:
        - name: JASYPT_ENCRYPTOR_PASSWORD
          valueFrom:
            secretKeyRef:
              name: jasypt-secret
              key: password

6.5 IntelliJ IDEA調試運行配置

IDE默認不繼承系統環(huán)境變量，需在Run/Debug Configuration → Environment variables中手動添加JASYPT_ENCRYPTOR_PASSWORD=你的密鑰。

七、支持的加密算法與選型建議

7.1 常見可用算法

Jasypt支持以下PBE類加密算法：

版本差異：Jasypt 3.x版本后默認加密方式已從PBEWithMD5AndDES切換為PBEWITHHMACSHA512ANDAES_256，對應也需指定RandomIvGenerator。

7.2 如何查看當前JDK支持的算法

在Java代碼中執(zhí)行以下腳本，快速列出所有可用算法：

import java.security.Security;
public class AlgorithmList {
    public static void main(String[] args) {
        for (java.security.Provider provider : Security.getProviders()) {
            for (Object key : provider.keySet()) {
                String str = (String) key;
                if (str.toLowerCase().contains("pbewith")) {
                    System.out.println(str);
                }
            }
        }
    }
}

八、多環(huán)境配置與啟動方式

8.1 開發(fā)環(huán)境

開發(fā)階段仍建議使用環(huán)境變量注入，與生產保持一致，避免環(huán)境差異導致的加解密失敗。

8.2 測試/生產環(huán)境

嚴格將密鑰存放于環(huán)境變量或K8s Secret中，配置文件中絕不出現明文密鑰。關鍵安全建議：

• 不同的環(huán)境使用不同的加密密鑰（防止跨環(huán)境憑據復用）；
• 定期輪換加密密鑰；
• 結合配置中心（如Nacos、Apollo）時，確保加密后的密文存儲在配置中心，密鑰通過環(huán)境變量下發(fā)。

九、常見異常排查清單

問題1：EncryptionOperationNotPossibleException

原因：jasypt.encryptor.password未正確注入，或加密/解密時使用的算法、密鑰不一致。

解決方法：

• 檢查JVM啟動參數或環(huán)境變量是否生效；
• 確認配置文件中的算法與加密密文時使用的算法相同；
• 若在JDK 17環(huán)境中使用舊算法PBEWithMD5AndDES，需顯式指定iv-generator-classname: org.jasypt.iv.NoIvGenerator。

問題2：Failed to bind properties under 'spring.datasource.password'

原因：Druid連接池場景下，加解密作用于Druid專用屬性路徑被遺漏。

解決方法：將密碼統一放置在spring.datasource.password中，Druid配置可通過引用此值解決，而非使用spring.datasource.druid.password。

問題3：環(huán)境變量JASYPT_ENCRYPTOR_PASSWORD不生效

排查步驟：

1. 確認變量名拼寫為全大寫，并檢查末尾無多余空格；
2. Windows中設置后需重啟命令行或IDE方可生效；
3. IntelliJ IDEA需在Run Configuration中手動添加此環(huán)境變量；
4. 若使用mvn spring-boot:run啟動，Maven進程默認不繼承父終端變量，改用java -jar方式。

問題4：NoClassDefFoundError

原因：依賴版本不匹配或引入了錯誤的庫。

解決方法：確保使用的是jasypt-spring-boot-starter而非原生jasypt庫，且版本與Spring Boot版本兼容。

十、最佳實踐總結

1. 絕不在配置文件中明文寫入密鑰。永遠使用環(huán)境變量、K8s Secret或專用密鑰管理服務（如Vault）注入；
2. 生產環(huán)境使用強加密算法，如PBEWITHHMACSHA512ANDAES_256，避開舊版PBEWithMD5AndDES；
3. 統一加解密路徑，尤其在配合Druid連接池時，敏感屬性統一放置在標準spring.datasource.password中，規(guī)避自定義路徑無法解密的問題；
4. 不同環(huán)境使用不同密鑰，避免因開發(fā)密鑰泄露波及生產數據；
5. 結合CI/CD自動化部署時，確保構建腳本不輸出密鑰值到日志中；
6. 定期輪換密鑰，降低長期使用單一密鑰帶來的暴露風險；
7. 版本兼容性先行：Spring Boot 3.x用戶選擇jasypt-spring-boot-starter 3.0.5+版本，并確保算法配置適配。

通過以上系統化的配置和密鑰管理，即可在Spring Boot項目中實現“配置文件零明文”的安全目標，讓數據庫密碼等敏感信息真正穿上“防彈衣”。

以上就是在SpringBoot項目中使用Jasypt加密敏感配置信息的完整方案的詳細內容，更多關于SpringBoot Jasypt加密敏感配置信息的資料請關注腳本之家其它相關文章！

最新評論