密码未注入导致数据库连接失败时，应优先使用SPRING_DATASOURCE_PASSWORD环境变量覆盖配置，或通过-D参数传入JVM；若用Jasypt加密，须指定OpenJDK 11+支持的PBEWITHHMACSHA512ANDAES_256算法并确保版本≥3.0.4。
Spring Boot 启动时数据库密码没注入，连不上怎么办
OpenJDK 本身不处理密码注入，真正起作用的是 Spring Boot 的配置加载机制。常见现象是 java.lang.IllegalStateException: Failed to load property source from location 'classpath:/application.yml' 或启动时报 Access denied for user，本质是密码没传进去，不是 JDK 版本或安装问题。
关键点在于：密码必须在 JVM 启动前就可用，且不能硬编码在配置文件里。推荐走环境变量或 JVM 参数两条路径，优先用环境变量（更安全、易管理）。
-
SPRING_DATASOURCE_PASSWORD环境变量会自动覆盖application.yml中的spring.datasource.password字段，无需额外配置 - 若用 JVM 参数，必须加
-D前缀，例如：-Dspring.datasource.password=ENC(abc123...)，但此时需配套引入 Jasypt 依赖并传入解密密钥-Djasypt.encryptor.password=MySecretKey - Windows 下设环境变量用
set SPRING_DATASOURCE_PASSWORD=xxx，Linux/macOS 用export SPRING_DATASOURCE_PASSWORD=xxx；注意不要在install.bat或startup.sh里 echo 出来，避免日志泄露 - Thingsboard 这类开源平台默认读取
conf/thingsboard.conf，其中export DATABASE_PASSWORD=xxx是生效的，但该变量只对同脚本内后续命令可见，要确保java -jar命令在该 export 之后执行
Jasypt 加密后密码在 OpenJDK 11+ 上解密失败
不是算法不兼容，而是 Jasypt 默认使用的 PBEWithMD5AndDES 在 OpenJDK 11+ 中已被移除（JEP 288），直接报 java.security.NoSuchAlgorithmException。
必须显式指定支持的算法，否则哪怕密文和密钥都对，也会卡在解密环节。
- 生成密文时用
algorithm=PBEWITHHMACSHA512ANDAES_256（注意全大写、无空格），这是 OpenJDK 11+ 内置支持的强算法 - 在
application.yml中启用对应配置：jasypt.encryptor.algorithm: PBEWITHHMACSHA512ANDAES_256 - 确认 Jasypt starter 版本 ≥ 3.0.4，低版本即使指定算法也可能 fallback 到 MD5+DES
- 如果用 Docker 部署，环境变量
JASYPT_ENCRYPTOR_PASSWORD和 JVM 参数-Djasypt.encryptor.password效果等价，但前者更利于 K8s Secret 挂载
Thingsboard 部署时 DATABASE_PASSWORD 不生效的典型场景
Thingsboard 的 install.bat 脚本会读取 thingsboard.conf，但不会自动把其中的 DATABASE_PASSWORD 注入到 Java 进程的系统属性或 Spring 环境中——它只用于初始化数据库 schema 阶段。
真正运行服务时，连接池用的是 conf/thingsboard.yml 里的配置，而该文件默认是明文写死的，和 .conf 文件完全隔离。
- 必须手动编辑
conf/thingsboard.yml，将spring: datasource: password:改为${DATABASE_PASSWORD}占位符 - 同时确保
thingsboard.conf中的export DATABASE_PASSWORD=xxx在java -jar命令执行前已生效（检查脚本顺序） - Windows 下
%DATABASE_PASSWORD%语法仅在 CMD 中有效，PowerShell 需改用$env:DATABASE_PASSWORD，建议统一用 CMD 启动以避免混淆 - 如果用了 Docker 部署 Thingsboard，
thingsboard.yml应通过 volume 挂载，DATABASE_PASSWORD用docker run -e DATABASE_PASSWORD=xxx传入
为什么 Linux 云服务器上 export 密码后 java -jar 仍连不上
因为 export 设置的环境变量只对当前 shell 及其子进程有效。如果你在 ~/.bashrc 里写了 export SPRING_DATASOURCE_PASSWORD=xxx，但用 systemctl start myapp 启动服务，那这个变量根本不会被读到。
systemd 服务有自己的环境隔离机制，必须显式声明。
- 修改 service 文件（如
/etc/systemd/system/myapp.service），在[Service]段下添加：Environment="SPRING_DATASOURCE_PASSWORD=xxx" - 或者更安全的做法：用
EnvironmentFile=/etc/myapp/secrets.env，把密码单独放在受限权限文件中（chmod 600） - 切勿在
ExecStart=行里拼接java -Dspring.datasource.password=xxx -jar app.jar，这会导致密码出现在ps aux输出里，极易泄露 - 验证是否生效：启动服务后执行
systemctl show --property=Environment myapp，或进服务进程的/proc/PID/environ查看原始环境变量（需 root 权限）
复杂点在于：密码注入不是单点问题，它横跨 shell 环境、JVM 启动参数、Spring 配置解析、加密 SDK 兼容性四层。任何一个环节断开，都会表现为“连不上数据库”，但真实原因可能天差地别。
