Spring boot敏感参数加密配置

一,背景

在项目中很多参数会被配置到配置文件中,比如说密钥,用户名,数据库连接,账号密码之类的,如果用明文配置,会有一定的安全风险。为了减小风险,增加对敏感配置数据的加密配置。

二,实现步骤

1. 引入maven依赖

复制代码
<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>
<dependency>
  <groupId>org.bouncycastle</groupId>
  <artifactId>bcprov-jdk18on</artifactId>
  <version>1.78.1</version>
</dependency>

2. Application启动类配置

@EnableEncryptableProperties

3. bootstrap.yml配置

配置文件加解密配置

jasypt:

encryptor:

加解密算法

algorithm: PBEWithMD5AndDES

iv-generator-classname: org.jasypt.iv.NoIvGenerator

property:

算法识别前缀(当算法发现配置文件中的值以这前缀开始,后缀结尾时,会使用指定算法解密)

prefix: ENC(

算法识别后缀

suffix: )

4. 加解密工具类

package com.xxx.xxx;

import org.jasypt.encryption.pbe.StandardPBEStringEncryptor;

import org.jasypt.encryption.pbe.config.EnvironmentStringPBEConfig;

public class JasyptUtils {

public static final String PASSWORD = "abc";

public static final String ALGORITHM = "PBEWithMD5AndDES";

public static void main(String[] args) {

process("root");

process("123456");

}

/**

* 加密

*

* @param plaintext 明文

* @return

*/

public static String encrypt(String plaintext) {

StandardPBEStringEncryptor encryptor = new StandardPBEStringEncryptor();

EnvironmentStringPBEConfig config = new EnvironmentStringPBEConfig();

// 指定算法

config.setAlgorithm(ALGORITHM);

// 指定秘钥,和yml配置文件中保持一致

config.setPassword(PASSWORD);

encryptor.setConfig(config);

// 生成加密数据

return encryptor.encrypt(plaintext);

}

/**

* 解密

*

* @param data 加密后数据

* @return

*/

public static String decrypt(String data) {

StandardPBEStringEncryptor encryptor = new StandardPBEStringEncryptor();

EnvironmentStringPBEConfig config = new EnvironmentStringPBEConfig();

// 指定算法

config.setAlgorithm(ALGORITHM);

// 指定秘钥,和yml配置文件中保持一致

config.setPassword(PASSWORD);

encryptor.setConfig(config);

// 解密数据

return encryptor.decrypt(data);

}

private static void process(String text) {

String ciphertext = encrypt(text);

System.out.println("ciphertext: " + ciphertext);

System.out.println("plaintext: " + decrypt(ciphertext));

System.out.println("--------------------------");

}

}

5. 将上一步得到加密后的文本写入bootstrap.yml

密文用指定的前后缀包围: ENC(xxx)

spring:

数据源

datasource:

url: ENC(Pd+8gi8reZ8qAWQmlyqeSGUfbE9McRBBADMLHOPefTQZUKGUGqmyEK8Zfk/McQZuBkku1/ukvFpoimbZ23GmBwGx3P2/LxYHUMObbBN1qj5wFlVAENDB50Or43R9oKjgbfeGgZ+v5hFP3EsUzJoBW/fVt9Wv0QLKRZ3FgZl+/1ibqdI4HON7T1cV7xtOQrcY7yKxZfozalY0jN7paaUznx6pidmjE1zLAOpfzigzxlIhcBiQeKqKfQzZLk2LSODG)

username: ENC(qFu6FeDJrXw3FV0Aqty2aw==)

password: ENC(mimO0LHX+2DzbXLZKeoXPVXVw9uzGehK)

6. 在启动命令增加秘钥环境变量

密钥: abc

java -Djasypt.encryptor.password=abc -jar xxx.jar
注意: 秘钥不可配置在bootstrap.yml, 可以放在服务器的指定位置,或者嵌入到K8s的secrect config里面。

相关推荐
缺点内向2 小时前
Java:创建、读取或更新 Excel 文档
java·excel
带刺的坐椅2 小时前
Solon v3.4.7, v3.5.6, v3.6.1 发布(国产优秀应用开发框架)
java·spring·solon
四谎真好看4 小时前
Java 黑马程序员学习笔记(进阶篇18)
java·笔记·学习·学习笔记
桦说编程4 小时前
深入解析CompletableFuture源码实现(2)———双源输入
java·后端·源码
java_t_t4 小时前
ZIP工具类
java·zip
舒一笑4 小时前
大模型时代的程序员成长悖论:如何在AI辅助下不失去竞争力
后端·程序员·掘金技术征文
lang201509284 小时前
Spring Boot优雅关闭全解析
java·spring boot·后端
小羊在睡觉5 小时前
golang定时器
开发语言·后端·golang
pengzhuofan5 小时前
第10章 Maven
java·maven
用户21411832636025 小时前
手把手教你在魔搭跑通 DeepSeek-OCR!光学压缩 + MoE 解码,97% 精度还省 10-20 倍 token
后端