最安全做法是用占位符声明敏感配置项，运行时通过环境变量注入覆盖；Spring Boot按命令行参数>环境变量>外部配置文件>内部配置的优先级加载，环境变量可自动覆盖yml中的${KEY:default}占位符。
Java 应用（尤其是 Spring Boot）在多环境部署时，敏感参数（如数据库密码、API 密钥、Redis 密码等）绝不能硬编码在 application.yml 或 application-prod.yml 中。最安全、最主流的做法是：**用占位符声明配置项，运行时通过操作系统环境变量注入值，自动覆盖配置文件内容**——这既符合外部化配置原则，又满足安全合规要求。
环境变量覆盖的底层机制
Spring Boot 配置加载遵循明确优先级：命令行参数 > 环境变量 > 外部配置文件 > 内部 application-{profile}.yml。因此，只要在系统中设置了环境变量（如 DB_PASSWORD=xxx），它就会自动覆盖 yml 文件里 ${DB_PASSWORD} 占位符的默认值或空值，无需改代码、不触碰配置文件。
配置文件中正确使用占位符
在 application.yml 中，所有敏感字段必须用 ${KEY:default} 格式声明，并提供安全默认值（生产环境应设为空或占位符，避免泄露）：
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
spring.datasource.password: ${DB_PASSWORD:}—— 不设默认值，强制由环境变量提供 -
spring.redis.password: ${REDIS_PASSWORD:}—— 同上，留空更安全 spring.mail.password: ${SMTP_PASSWORD:}- 非敏感字段可带默认值：
DB_HOST: ${DB_HOST:localhost}
不同部署方式下设置环境变量的方法
关键是要让 JVM 进程能读取到这些变量：
立即学习“Java免费学习笔记（深入）”；
-
本地开发（IDE）：在运行配置（Run Configuration）中添加环境变量，如
DB_PASSWORD=dev123 -
Linux 命令行启动：执行前导出变量，再运行 JAR：
export DB_PASSWORD='prod-secret-2026' && java -jar myapp.jar --spring.profiles.active=prod -
Docker 容器部署：在
docker run中用-e参数传入，或在docker-compose.yml的environment字段定义：environment: - DB_PASSWORD=${DB_PASSWORD}（配合.env文件管理） -
Kubernetes：通过
Secret挂载为环境变量，或使用envFrom引用Secret对象
验证是否生效的简单方法
启动后访问 Actuator 的 /actuator/env 端点（需开启），搜索对应变量名（如 DB_PASSWORD），确认其来源是 systemEnvironment 而非 configurationProperties。也可在日志中加一句 @Value("${DB_PASSWORD:***}") String pwd 打印（仅限调试，切勿在生产日志输出明文密码）。
