本文介绍在标准 war 部署模式下，为 tomcat java web 应用实现敏感属性（如数据库密码、api 密钥）端到端加密的实用方案，涵盖轻量级库选型、外部密钥管理集成及运行时动态解密实践。
本文介绍在标准 war 部署模式下，为 tomcat java web 应用实现敏感属性（如数据库密码、api 密钥）端到端加密的实用方案，涵盖轻量级库选型、外部密钥管理集成及运行时动态解密实践。
在现代 Java Web 应用部署中，将明文敏感信息（如 spring.datasource.password 或 api.token）直接写入 application.properties 文件存在严重安全隐患——尤其当配置文件随代码进入 Git 仓库或被误传至非生产环境时。尽管 Jasypt 曾是主流选择，但其长期未更新（最新稳定版 1.9.x 发布于 2018 年），已不推荐用于新项目。更安全、可维护的实践是采用“配置加密 + 外部密钥托管 + 运行时按需解密”三层架构。
✅ 推荐方案：Spring Boot + Spring Cloud Config + Vault（轻量级替代：AWS Secrets Manager）
若应用基于 Spring Boot（推荐），可借助 spring-cloud-starter-config 和 spring-cloud-starter-vault-config 实现自动化的密文注入：
# application.yml（仅含密文占位符）
spring:
cloud:
vault:
host: vault.example.com
port: 8200
scheme: https
authentication: TOKEN
token: ${VAULT_TOKEN} # 通过系统属性或环境变量注入
config:
import: "optional:vault:"
# application.properties（明文仅存密文标识） spring.datasource.password=ENC(ABCD1234...XyZ9) api.external.token=ENC(EF5678...MnOp2)
启动时，Spring Cloud Vault 自动从 Vault 获取密钥，调用解密接口还原值，全程无需应用接触原始密钥。
⚙️ 无 Spring Cloud？手动集成方案（兼容传统 WAR）
若无法升级框架，可采用 Bouncy Castle + 外部密钥服务 组合：
-
预加密敏感值（本地执行）：
# 使用 AES-256-GCM 加密数据库密码（密钥由 AWS Secrets Manager 管理） echo -n "myDBPass123" | openssl enc -aes-256-gcm -pbkdf2 -iter 100000 \ -salt -pass env:ENCRYPTION_KEY -base64
将输出密文（如
U2FsdGVkX1+...）写入application.properties。 -
运行时解密逻辑（在
ServletContextListener中初始化）：public class DecryptionInitializer implements ServletContextListener { @Override public void contextInitialized(ServletContextEvent sce) { try { String encryptionKey = fetchKeyFromAWSSecrets("prod/app/encryption-key"); String dbPassword = decrypt( getInitParameter("spring.datasource.password.encrypted"), encryptionKey ); System.setProperty("spring.datasource.password", dbPassword); } catch (Exception e) { throw new RuntimeException("Failed to decrypt config", e); } } }
? 关键注意事项：
- 密钥绝不硬编码：
ENCRYPTION_KEY必须通过 Tomcat 的setenv.sh注入环境变量，或由 systemd service 文件通过Environment=指令加载；- 最小权限原则：AWS IAM Role 或 Vault Token 仅授予读取特定 secret 路径的权限；
- CI/CD 安全集成：在 GitLab CI 中使用
CI_JOB_TOKEN调用 Secrets Manager API，避免密钥落盘；- 审计与轮换：所有密钥访问需记录 CloudTrail/Audit Log，并制定 90 天轮换策略。
? 不推荐的“伪安全”做法
- 将密钥存于 Git 仓库（即使
.gitignore了配置文件，历史提交仍可能泄露）； - 使用静态硬编码密钥（如
private static final String KEY = "my-secret-123";）； - 依赖 Tomcat
context.xml的
最终，安全不是功能而是流程：从开发期密钥生成、构建期密文注入、部署期密钥隔离，到运行期动态解密与审计，每个环节都需设计防御纵深。选择 Vault 或 AWS Secrets Manager 并非银弹，但它们提供了企业级的密钥生命周期管理能力，远胜于自行维护加密逻辑。
