本文介绍在 Spring Boot 应用中，通过 spring.config.import 机制安全加载部署机上独立存储的外部 .properties 文件（如含数据库密码、API 密钥等敏感信息），实现配置与代码/主配置分离，避免硬编码或泄露风险。
本文介绍在 spring boot 应用中，通过 spring.config.import 机制安全加载部署机上独立存储的外部 .properties 文件（如含数据库密码、api 密钥等敏感信息），实现配置与代码/主配置分离，避免硬编码或泄露风险。
Spring Boot 2.4+ 引入了强大的配置导入机制，彻底替代了早期依赖 PropertySourcesPlaceholderConfigurer 或自定义 ResourcePropertySource 的复杂方案。核心在于使用 spring.config.import 属性，它支持在应用启动时主动加载并合并本地或远程的外部配置源（如 file:/, optional:file:/, configserver: 等），且这些配置会自动注入到 Spring 的 Environment 中，与 application.properties 具有同等访问权限。
✅ 正确做法如下：
-
在
application.properties（或application.yml）中声明外部文件路径：# application.properties spring.config.import=file:/etc/myapp/secrets.properties,file:/opt/config/app-settings.properties
⚠️ 注意事项：
- 路径必须为绝对路径（如
/etc/myapp/secrets.properties），相对路径将按 classpath 解析，不符合“部署机独立存储”需求；- 推荐添加
optional:前缀以避免文件缺失导致启动失败：spring.config.import=optional:file:/etc/myapp/secrets.properties；- 多个文件用英文逗号分隔，加载顺序即为优先级顺序（后加载的同名属性会覆盖前面的）。
-
确保外部文件格式标准：
例如/etc/myapp/secrets.properties内容应为纯 key-value 形式：db.host=192.168.1.100 db.port=5432 api.key=sk_live_abc123xyz789
-
在代码中直接通过
Environment获取值（无需额外解析）：@Component public class ConfigService { private final Environment env; public ConfigService(Environment env) { this.env = env; } public String getDbHost() { return env.getProperty("db.host", "localhost"); // 支持默认值 } public Integer getDbPort() { return env.getProperty("db.port", Integer.class, 5432); } }
? 补充说明：
- ❌ 原问题中尝试使用的
${file:/path:key}语法是无效的占位符表达式，Spring 不支持在属性值中嵌套这种“文件读取式”占位符；该写法会被原样保留为字符串，而非触发动态解析。 - ✅
spring.config.import是 Spring Boot 官方推荐的、面向生产环境的外部配置集成方式，兼容 Profile 激活（如spring.config.import[dev]=optional:file:/etc/myapp/dev-secrets.properties）、加密配置（配合 Jasypt 或 Spring Cloud Config 加密后端）及云原生场景（如 Kubernetes ConfigMap 挂载卷）。 - ?️ 安全建议：外部配置文件应严格限制系统权限（如
chmod 600 /etc/myapp/secrets.properties），并确保运行 Spring Boot 应用的系统用户对该文件具有仅读权限。
通过这一机制，您既能满足敏感信息“不进 Git、不进 Jar”的安全合规要求，又能保持代码简洁、配置可维护，真正实现配置即服务（Configuration-as-a-Service）的最佳实践。
