太強了！Spring Boot 配置參數名可控、值加密可查，全鏈路守護配置安全

作者：編程疏影 2025-07-15 04:00:00

不少企業上線前對配置文件有嚴格審查規則：禁止出現?username、password?等敏感字段名，更不能出現明文密碼。

不少企業上線前對配置文件有嚴格審查規則：禁止出現 username、password 等敏感字段名，更不能出現明文密碼。這種規則雖然出發點是安全，但卻給開發帶來了不少困擾：

字段名被屏蔽，程序無法讀取
值不能加密，容易泄漏
改配置影響啟動，難以排查

如何兼顧審查要求、代碼規范與安全性？本文提供一種優雅高效的解決方案：

自定義字段名 + 值使用國密 SM4 加密 + 啟動監聽器解密還原

項目結構

/src
 └── main
     ├── java
     │    └── com
     │         └── icoderoad
     │              ├── listener            # 啟動解密監聽器
     │              ├── utils               # 加解密工具（SM4）
     │              └── Application.java    # 主啟動類
     └── resources
          └── application.properties        # 自定義字段 + 加密值

示例配置（字段脫敏 + SM4 加密值）

原始配置（上線不允許）

spring.datasource.url=jdbc:mysql://localhost:3306/study2
spring.datasource.username=root
spring.datasource.password=root

安全配置（字段名脫敏 + 值加密）

spring.datasource.dbu=lUMr5GMPQUghyqRZpH8U3rfWcWoOFl2F1lmuX9u2tNc=
spring.datasource.usr=gAvu3DuUOecT43AjtA1Rmw==
spring.datasource.pwd=gAvu3DuUOecT43AjtA1Rmw==

解密后示例值

URL：jdbc:mysql://localhost:3306/study2
用戶名/密碼：root

上述密文通過 SM4 加密生成（工具類示例見下方）

SM4 加解密工具類（國密算法）

國密算法采用 BouncyCastle 實現，確保兼容性與安全性。

引入依賴（Maven）

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk15on</artifactId>
    <version>1.70</version>
</dependency>

工具類實現

// com/icoderoad/utils/Sm4Util.java
package com.icoderoad.utils;


import org.bouncycastle.crypto.CryptoException;
import org.bouncycastle.crypto.engines.SM4Engine;
import org.bouncycastle.crypto.modes.ECBBlockCipher;
import org.bouncycastle.crypto.paddings.PaddedBufferedBlockCipher;
import org.bouncycastle.crypto.paddings.PKCS7Padding;
import org.bouncycastle.crypto.params.KeyParameter;


import java.nio.charset.StandardCharsets;
import java.util.Base64;


public class Sm4Util {


    private static final String DEFAULT_KEY = "1234567890abcdef"; // 16字節國密Key


    public static String encrypt(String plainText) throws Exception {
        return encrypt(plainText, DEFAULT_KEY);
    }


    public static String decrypt(String cipherText) throws Exception {
        return decrypt(cipherText, DEFAULT_KEY);
    }


    public static String encrypt(String plainText, String key) throws Exception {
        PaddedBufferedBlockCipher cipher = createCipher(true, key.getBytes(StandardCharsets.UTF_8));
        byte[] input = plainText.getBytes(StandardCharsets.UTF_8);
        byte[] output = new byte[cipher.getOutputSize(input.length)];
        int len = cipher.processBytes(input, 0, input.length, output, 0);
        len += cipher.doFinal(output, len);
        byte[] encrypted = new byte[len];
        System.arraycopy(output, 0, encrypted, 0, len);
        return Base64.getEncoder().encodeToString(encrypted);
    }


    public static String decrypt(String base64Cipher, String key) throws Exception {
        byte[] input = Base64.getDecoder().decode(base64Cipher);
        PaddedBufferedBlockCipher cipher = createCipher(false, key.getBytes(StandardCharsets.UTF_8));
        byte[] output = new byte[cipher.getOutputSize(input.length)];
        int len = cipher.processBytes(input, 0, input.length, output, 0);
        len += cipher.doFinal(output, len);
        byte[] decrypted = new byte[len];
        System.arraycopy(output, 0, decrypted, 0, len);
        return new String(decrypted, StandardCharsets.UTF_8);
    }


    private static PaddedBufferedBlockCipher createCipher(boolean forEncryption, byte[] key) {
        SM4Engine engine = new SM4Engine();
        PaddedBufferedBlockCipher cipher = new PaddedBufferedBlockCipher(new ECBBlockCipher(engine), new PKCS7Padding());
        cipher.init(forEncryption, new KeyParameter(key));
        return cipher;
    }


    public static void main(String[] args) throws Exception {
        String url = "jdbc:mysql://localhost:3306/study2";
        String encryptedUrl = encrypt(url);
        System.out.println("Encrypted URL: " + encryptedUrl);
        System.out.println("Decrypted: " + decrypt(encryptedUrl));


        String user = "root";
        System.out.println("Encrypted user: " + encrypt(user));
    }
}

啟動監聽器還原明文配置項

// com/icoderoad/listener/EnvironmentDecryptListener.java
package com.icoderoad.listener;


import com.icoderoad.utils.Sm4Util;
import org.springframework.boot.context.event.ApplicationEnvironmentPreparedEvent;
import org.springframework.context.ApplicationListener;
import org.springframework.core.env.ConfigurableEnvironment;


public class EnvironmentDecryptListener implements ApplicationListener<ApplicationEnvironmentPreparedEvent> {


    @Override
    public void onApplicationEvent(ApplicationEnvironmentPreparedEvent event) {
        ConfigurableEnvironment env = event.getEnvironment();
        try {
            String url = env.getProperty("spring.datasource.dbu");
            String usr = env.getProperty("spring.datasource.usr");
            String pwd = env.getProperty("spring.datasource.pwd");


            System.setProperty("spring.datasource.url", Sm4Util.decrypt(url));
            System.setProperty("spring.datasource.username", Sm4Util.decrypt(usr));
            System.setProperty("spring.datasource.password", Sm4Util.decrypt(pwd));
        } catch (Exception e) {
            System.err.println("配置解密失敗: " + e.getMessage());
        }
    }
}

啟動類注冊監聽器

// com/icoderoad/Application.java
package com.icoderoad;


import com.icoderoad.listener.EnvironmentDecryptListener;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.builder.SpringApplicationBuilder;


@SpringBootApplication
public class Application {
    public static void main(String[] args) {
        new SpringApplicationBuilder(Application.class)
                .listeners(new EnvironmentDecryptListener())
                .run(args);
    }
}

結語：一站式配置安全守護方案

通過以上實戰方案，我們實現了配置安全的三重防護：

字段名自定義：繞過審查敏感關鍵字
值加密保護：使用國密 SM4 算法替代常見 AES，更符合監管要求
啟動自動還原：無侵入式接入 Spring Boot 項目

此方案不僅適用于數據源連接，還可擴展用于 Redis、MQ、API Token 等敏感配置項的保護。

建議將加密工具提取為開發工具類，加密后再錄入配置文件，運行階段解密即可，無需人工干預。

責任編輯：武曉燕來源：路條編程

Spring 配置參數