SpringBoot整合Jasypt实现配置文件加密的实战指南

# ❌ 明文配置（危险！）
spring:
  datasource:
    url: jdbc:mysql://localhost:3306/seckill_db
    username: root
    password: 123456     # ← 密码暴露在配置文件里
# ✅ 加密配置（安全！）
spring:
  datasource:
    url: jdbc:mysql://localhost:3306/seckill_db
    username: root
    password: ENC(加密后的密文)  # ← 别人看不懂

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>

jasypt:
  encryptor:
    password: mySecretKey      # 加密密钥（不要写在配置里！）
    algorithm: PBEWithMD5AndDES

java -jar app.jar --jasypt.encryptor.password=mySecretKey

# Windows 系统环境变量
set JASYPT_ENCRYPTOR_PASSWORD=mySecretKey
# Linux
export JASYPT_ENCRYPTOR_PASSWORD=mySecretKey

jasypt:
  encryptor:
    password: ${JASYPT_ENCRYPTOR_PASSWORD}

# 下载 Jasypt 的 jar 包后，命令行加密
java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI \
  input="123456" \
  password=mySecretKey \
  algorithm=PBEWithMD5AndDES
# 输出：
# ----OUTPUT----------------------
# O7v7T4H6zXkZp8V3YwA9Bw==

@SpringBootTest
class JasyptTest {

    @Test
    void testEncrypt() {
        // 加密
        StringEncryptor encryptor = new DefaultEncryptor();
        String encrypted = encryptor.encrypt("123456");
        System.out.println("加密后: " + encrypted);
        // 输出: ENC(O7v7T4H6zXkZp8V3YwA9Bw==)

        // 解密
        String decrypted = encryptor.decrypt(encrypted);
        System.out.println("解密后: " + decrypted);
        // 输出: 123456
    }
}

spring:
  datasource:
    url: jdbc:mysql://localhost:3306/seckill_db
    username: root
    password: ENC(O7v7T4H6zXkZp8V3YwA9Bw==)
  redis:
    host: localhost
    password: ENC(XyZ8pQ3mN5vB2kL7)
# 自定义配置也可以加密
app:
  api-key: ENC(H9jK2mN4pQ6rS8tU)

# 从专门的密钥管理服务获取
# 或者在启动脚本中手动输入（不写入任何文件）
java -jar app.jar \
  --jasypt.encryptor.password=$(cat /etc/secrets/jasypt.key) \
  --spring.profiles.active=prod

# 如果密码包含特殊字符（如 $、%、&），需要 URL 编码
password: ENC(abc%3Ddef)  # %3D 是 = 的 URL 编码
# 或者在生成密文时指定
# 命令行生成时，用单引号包裹
java -cp jasypt.jar ... input='P@ssw0rd!' ...

jasypt:
  encryptor:
    password: ${JASYPT_ENCRYPTOR_PASSWORD}
    algorithm: PBEWITHHMACSHA512ANDAES_256  # 更强的算法
    iv-generator-classname: org.jasypt.iv.RandomIvGenerator

<!-- SpringBoot 3.x 默认支持 AES-256 -->
<!-- SpringBoot 2.x 需要额外配置 JCE -->

jasypt:
  encryptor:
    # 默认密钥
    password: ${JASYPT_ENCRYPTOR_PASSWORD}
    # 不同 Bean 使用不同密钥
    bean:
      - encryptorName: dbEncryptor
        password: ${DB_ENCRYPTOR_PASSWORD}
      - encryptorName: apiEncryptor
        password: ${API_ENCRYPTOR_PASSWORD}

@Configuration
public class JasyptConfig {

    @Bean("dbEncryptor")
    public StringEncryptor dbEncryptor(
            @Value("${jasypt.encryptor.bean[0].password}") String password) {
        PooledPBEStringEncryptor encryptor = new PooledPBEStringEncryptor();
        encryptor.setPassword(password);
        encryptor.setAlgorithm("PBEWithMD5AndDES");
        return encryptor;
    }
}

spring:
  datasource:
    password: ENC(xxx)  # 使用默认密钥
app:
  third-party-key: ENC(yyy)  # 也使用默认密钥

# 原因：密钥不正确或密文被修改
# 解决：确认启动时传入的密钥和加密时使用的密钥一致
# 检查环境变量
echo $JASYPT_ENCRYPTOR_PASSWORD

# 原因：连接字符串中也包含密码信息
# 解决：整个 URL 加密不方便，只加密密码部分即可

# application-dev.yml（开发环境可以明文，方便调试）
spring:
  datasource:
    password: 123456
# application-prod.yml（生产环境加密）
spring:
  datasource:
    password: ENC(O7v7T4H6zXkZp8V3YwA9Bw==)

# 开发环境启动直接跑
java -jar app.jar --spring.profiles.active=dev
# 生产环境需要传入密钥
java -jar app.jar \
  --spring.profiles.active=prod \
  --jasypt.encryptor.password=${JASYPT_PASSWORD}