Spring Boot 中 db.password 必须用对称加密（如AES）并配合 EnvironmentPostProcessor 或 jasypt-spring-boot-starter 在启动时自动解密，密钥须通过环境变量或JVM参数注入，严禁硬编码或明文存储。
db.password 不能直接存明文，也不能用 MD5 或 SHA-256 这类单向哈希——因为数据库连接需要实时解密还原成明文密码。真正可用的方案是：**对称加密 + 配置解密钩子**，且密钥必须脱离配置文件本身。
Spring Boot 项目里怎么让 application.properties 中的 db.password 自动解密
核心是拦截 spring 的属性解析流程，在注入数据源前把加密值解密。推荐用 jasypt-spring-boot-starter（注意版本兼容性）：
– 加密后的密码写成 enc(8af3xk9mzql2) 格式，包裹在 enc() 里
– 启动时通过 jvm 参数或环境变量传入解密密钥，例如 -djasypt.encryptor.password=mysecretkey123
– 不要在代码里硬编码密钥，也不要在 application.properties 里写密钥
– 若用 docker，密钥应通过 --env 注入，而非写进镜像层
– 注意：spring boot 3.x 默认不兼容旧版 jasypt，需改用 encryptor-type=standard 并确认依赖版本匹配
AES 加密比 MD5 适合数据库密码存储的原因
MD5 是单向哈希，不可逆，根本没法还原出密码供 JDBC 连接使用；而 AES 是对称加密，加解密可控，才满足运行时需求：
– AES/GCM/NoPadding 比 AES/CBC/PKCS5Padding 更安全（带认证加密）
– 密钥长度至少 128 位，建议用 256 位，避免用字符串直接当密钥（应通过 PBKDF2WithHmacSHA256 衍生）
– 每次加密必须用新 IV（初始化向量），且 IV 需和密文一起存储（如拼接在密文前）
– 不要自己实现 AES 加解密逻辑，优先用 Bouncy Castle 或 javax.crypto 标准 API，避免填充、编码、字节序等低级错误
Oracle 数据库密码加密后，JDBC URL 连接失败的常见原因
即使密码解密成功，仍可能连不上 Oracle，排查点集中在协议与驱动行为：
– Oracle 12c+ 默认启用 TNS 加密，若服务端强制 SQLNET.ENCRYPTION_SERVER=REQUIRED，客户端未配对应参数会静默失败
– 使用 oracle.jdbc.driver.OracleDriver 旧驱动时，不支持某些现代加密方式，应升级到 ojdbc8.jar 或更高
– 密码中若含特殊字符（如 @、/、:），即使已解密，也需在 JDBC URL 中做 URL 编码，否则解析 URL 时截断
– DataSource 初始化顺序问题：若解密逻辑晚于 HikariCP 初始化，会导致连接池用空密码尝试建连，报 ORA-01017: invalid username/password
你接手一个需求时，是不是经常这样："改一个小字段 → 结果把不相关的代码也改了"、"需求说得很模糊 → 做着做着发现跑偏了"、"数据库加个字段 → 上线才发现漏了数据兼容"、"做了个新功能 → 一个月后自己都忘了当时怎么设计的"、"写到一半被中断 → 再回来不知道从哪继续"；这个 Skill 就是专门解决这些问题的。 它会自动探测你的项目环境（JDK、Spring Boot、ORM、数据库、前端框架），记在
生产环境里最容易被忽略的密钥管理细节
密钥不是“设一次就完事”，它必须随生命周期受控：
– 解密密钥绝不能出现在 Git 历史中，哪怕已删掉也要用 git filter-repo 彻底清理
– 多环境（dev/staging/prod）必须用不同密钥，禁止复用
– 密钥轮换时，旧密钥需保留一段时间以解密存量配置，但新加密必须用新密钥
– 若用 Kubernetes，密钥应走 Secret 对象挂载，而不是 ConfigMap；挂载路径权限设为 0400，防止其他容器读取
– 日志中禁止打印解密后的 db.password，检查所有日志框架是否过滤了敏感字段名
