本文介绍在标准 war 部署模式下，为 tomcat java web 应用实现敏感配置（如数据库密码、api token）加密的实用方案，涵盖轻量级库选型、外部密钥管理集成及生产就绪的最佳实践。
本文介绍在标准 war 部署模式下，为 tomcat java web 应用实现敏感配置（如数据库密码、api token）加密的实用方案，涵盖轻量级库选型、外部密钥管理集成及生产就绪的最佳实践。
在现代 Java Web 应用部署中，将明文敏感信息（如 spring.datasource.password 或 api.token）直接写入 application.properties 文件存在严重安全风险——尤其当配置文件随代码进入 Git 仓库或被意外日志输出时。虽然 Jasypt 曾是主流选择，但其长期缺乏维护（最新稳定版 v3.0.5 发布于 2021 年，且不支持 JDK 17+ 的强封装特性），已不推荐用于新项目。取而代之的是更现代、可审计、可扩展的方案。
✅ 推荐方案：外部密钥管理 + 运行时解密（推荐指数 ★★★★★）
核心思想：不将加密密钥硬编码在应用内，也不将密钥存于本地文件系统，而是委托给受信的外部密钥/凭据服务，在应用启动时动态获取密钥并解密配置值。典型组合如下：
| 方案 | 适用场景 | 集成方式 | 注意事项 |
|---|---|---|---|
| AWS Secrets Manager | 已使用 AWS 云环境 | 通过 IAM 角色授权 EC2/ECS 实例访问；Java SDK 调用 getSecretValue() 获取密钥 |
需确保 Tomcat 运行实例具备最小权限 IAM 角色 |
| HashiCorp Vault (KV v2 + Transit Engine) | 混合云/私有云 | 使用 Vault Agent 注入令牌，或通过 Spring Cloud Vault 自动绑定 | 需独立部署 Vault 集群，启用 TLS 和审计日志 |
| Azure Key Vault / GCP Secret Manager | 对应云平台用户 | 类似 AWS SDK，使用托管身份（Managed Identity）或服务账号密钥（需严格保护） | 禁止将服务账号 JSON 密钥文件放入 WAR 包 |
示例：Spring Boot + HashiCorp Vault（无需修改业务代码）
# application.yml（明文仅存占位符）
spring:
cloud:
vault:
host: vault.example.com
port: 8200
scheme: https
authentication: TOKEN
token: "${VAULT_TOKEN:}" # 由 systemd 环境变量注入
datasource:
password: "{vault:secret/data/myapp#password}" # Spring Cloud Vault 自动解析启动 Tomcat 前，通过 systemd 安全注入凭证：
# /etc/systemd/system/tomcat.service.d/override.conf [Service] Environment="VAULT_TOKEN=xxxx-xxxx-xxxx" # 来自 Vault 登录响应，生命周期可控 # 禁用环境变量泄露：ProtectHome=true, PrivateTmp=true, NoNewPrivileges=true
⚠️ 关键注意事项（务必遵守）
-
零密钥落地原则：加密密钥（KEK）和数据密钥（DEK）均不得以任何形式持久化到磁盘（包括
/tmp、WAR 内部、JVM 参数-D）。所有密钥应仅存在于内存中。 - 密钥轮换必须自动化：Vault/AWS SM 支持自动轮换策略；若自建加解密服务，需配套定时任务 + 应用热重载能力。
- 禁止“二次加密”陷阱：不要用一个硬编码密钥去加密另一个密钥（即“密钥套娃”），这等同于未加密。密钥源必须是可信外部服务。
-
CI/CD 流水线加固：手动部署阶段，可使用
git-crypt加密application-prod.properties的局部区块；但上线后必须切换为运行时动态解密——避免构建产物携带密钥。 -
审计与监控不可缺：对所有密钥读取操作开启审计日志（如 Vault 的
audit log或 AWS CloudTrail），设置异常访问告警（如 1 小时内高频调用GetSecretValue）。
? 总结
对于您当前的 WAR 部署 + systemd 托管 + 手动 CI 过渡阶段，最务实路径是：
① 短期：使用 HashiCorp Vault 社区版（单节点）作为密钥中心，配合 spring-cloud-starter-vault-config 实现零代码侵入解密；
② 中期：将 Vault 集成进 GitLab CI，通过 GITLAB_VAULT_TOKEN 环境变量注入，实现构建时动态生成加密配置片段；
③ 长期：结合 OpenPolicyAgent（OPA）定义密钥访问策略，实现 RBAC + ABAC 双控。
安全不是功能，而是持续演进的基础设施能力——选择可观察、可审计、可轮换的方案，远比追求“一次性加密算法”更重要。
