Spring Boot 隐藏或加密密码的最佳实践

Question

我已经使用 Spring Framework 大约 4 年了，现在使用 Spring Boot 已经有几个月了。我的 Spring MVC 应用程序通常部署在 Java EE 容器上，例如 JBoss/WildFly 或 WebLogic。这样做允许我将 JNDI 用于数据源或任何其他涉及机密/密码的敏感数据。这使我的应用程序根据名称“使用”该 JNDI 资源。

现在使用 Spring Boot，特别是对于自包含微服务（嵌入式 tomcat），该信息现在存储在应用程序中（application.properties 和/或 Spring Java Config 类），因此在 Git 中进行版本控制。

这使得这些信息更多地暴露给其他开发人员，我对此不太满意。我也不喜欢在 SonarQube 和 Jenkins 中显示这些细节（通过工作区）。

问题是：是否有针对此特定要求的最佳实践？

* 更新 * 我在这里和那里看到一些关于 Jasypt 使用的文章，但我想知道它是否仍然是一个有效的库，因为上一个稳定版本是 2014 年发布的。

谢谢

Answer 1

您可以考虑使用保险库。Spring 开箱即用地支持其中的一些。您可以在这里找到更多信息http://projects.spring.io/spring-vault/。