本文介绍在无法获取第三方 spring boot 可执行 jar 源码的前提下，安全、合规地覆盖其 application.properties 中敏感配置（如用户名密码）的多种实践方案，包括环境变量注入、外部配置文件、jvm 参数及启动时重写机制。
本文介绍在无法获取第三方 spring boot 可执行 jar 源码的前提下，安全、合规地覆盖其 application.properties 中敏感配置（如用户名密码）的多种实践方案，包括环境变量注入、外部配置文件、jvm 参数及启动时重写机制。
Spring Boot 提供了强大且分层的外部化配置机制，即使面对封闭的第三方可执行 JAR（如 app.jar），你依然可以在不修改源码、不反编译、不重新打包的前提下，动态覆盖其内置配置。关键在于理解 Spring Boot 的 配置加载优先级顺序（从高到低）：
- 命令行参数（--key=value）
- SPRING_APPLICATION_JSON（内联 JSON）
- java:comp/env JNDI 属性
- Java 系统属性（-Dkey=value）
- 操作系统环境变量（下划线转驼峰，如 SPRING_PROFILES_ACTIVE=prod → spring.profiles.active=prod）
- java -jar app.jar 同目录下的 application.properties 或 application.yml
- config/ 子目录下的 application.properties（即 ./config/application.properties）
- JAR 包内 classpath:/application.properties
✅ 推荐方案（按优先级与安全性排序）：
1. 使用外部 application.properties 文件（最简单可靠）
在 JAR 所在目录创建 config/ 子目录，并放入自定义配置：
# 目录结构示例
├── app.jar
└── config/
└── application.properties
config/application.properties 内容：
# 覆盖第三方应用中定义的 username/password
myapp.datasource.username=${DB_USER:demo}
myapp.datasource.password=${DB_PASS:changeme}
# 若第三方使用标准 spring.datasource.*，直接覆盖即可
spring.datasource.username=${DB_USER}
spring.datasource.password=${DB_PASS}
✅ 优势：无需修改 JAR，配置与应用分离，符合 Twelve-Factor App 原则。
⚠️ 注意：确保 config/ 目录与 app.jar 处于同一父目录，Spring Boot 自动识别。
2. 通过环境变量注入（适合容器/K8s 场景）
Spring Boot 自动将大写带下划线的环境变量映射为小写驼峰配置项：
export MYAPP_DATASOURCE_USERNAME="prod_user" export MYAPP_DATASOURCE_PASSWORD="s3cr3t!2024" # 或一行启动 DB_USER="prod_user" DB_PASS="s3cr3t!2024" java -jar app.jar
若第三方应用读取的是 spring.datasource.username，则使用：
SPRING_DATASOURCE_USERNAME="prod_user" SPRING_DATASOURCE_PASSWORD="s3cr3t!2024" java -jar app.jar
3. 启动时传入命令行参数（临时调试首选）
java -jar app.jar \ --myapp.datasource.username=override_user \ --myapp.datasource.password=override_pass
? 敏感值不建议明文出现在命令行（可能被 ps 泄露），生产环境请结合 --spring.config.location=file:/secure/config/ 使用。
4. （进阶）运行时解压 + 动态替换（仅当上述均失效时考虑）
若第三方应用强制从 classpath 内置配置读取且未预留扩展点，可临时解压并注入：
# 创建临时目录
mkdir -p temp-config && cd temp-config
# 解压 JAR（保留原始结构）
jar -xf ../app.jar
# 替换内置 application.properties（谨慎！需确认许可协议）
sed -i 's/username=.*/username=${DB_USER}/' BOOT-INF/classes/application.properties
sed -i 's/password=.*/password=${DB_PASS}/' BOOT-INF/classes/application.properties
# 重新打包（⚠️ 此操作可能违反软件许可，仅限测试或获授权场景）
jar -cf ../app-patched.jar .
cd .. && java -DDB_USER=prod -DDB_PASS=s3cr3t -jar app-patched.jar
? 不推荐做法
- ❌ 将密码硬编码在 application.properties 中（违背安全最佳实践）
- ❌ 反编译修改字节码（法律与维护风险高）
- ❌ 以依赖方式引入可执行 JAR（因 spring-boot-maven-plugin 打包会排除 META-INF/MANIFEST.MF 主类声明，导致启动失败）
✅ 最佳实践建议
- 优先联系供应商：确认其是否支持 Vault、Config Server 或 @ConfigurationProperties 绑定的外部化配置；
- 使用 Secrets Manager：在 Kubernetes 中通过 Secret 挂载环境变量或文件；
- 启用配置加密：若第三方支持 jasypt-spring-boot，可配合 ENCRYPTED_VALUE 使用；
- 验证覆盖生效：启动时添加 --debug 或访问 /actuator/env 端点检查实际生效的配置源。
只要第三方应用遵循 Spring Boot 标准配置模型（而非自行硬编码 Properties.load()），上述任一外部化方式均可安全、可审计地完成敏感信息注入。
