要启用spring cloud config的配置加密功能，必须在config server端进行操作。1. 引入必要的依赖：确保项目中包含spring-cloud-starter-config，若使用rsa加密还需添加spring-security-rsa；2. 启用加密功能：在config server的配置文件中设置spring.cloud.config.server.encrypt.enabled: true；3. 配置密钥：选择对称加密（通过encrypt.key指定密钥）或非对称加密（通过encrypt.key-store配置jks密钥库）；4. 加密配置值：通过config server的/encrypt接口将敏感信息加密，并在配置文件中以{cipher}前缀标记；5. 自动解密：客户端获取配置时，config server会自动解密并返回明文，客户端无感知。生产环境中，应避免硬编码密钥，推荐结合vault类秘密管理系统实现安全的密钥管理和轮换。
Spring Cloud Config配置加密，说白了，就是为了把那些不能随便暴露的敏感信息，比如数据库密码、API密钥什么的，安全地放在配置中心。它不是把整个配置文件都加密了，而是针对文件里具体的敏感字段进行加密处理，这样Config Server在把配置推送给客户端之前，会自动把这些加密过的内容解密，客户端拿到的就已经是明文了。核心机制依赖于Java的JCE（Java Cryptography Extension）以及你选择的加密方式，通常是共享密钥（对称加密）或者RSA密钥对（非对称加密）。
要实现Spring Cloud Config的配置加密，我们需要在Config Server端做文章。首先，确保你的Config Server项目里引入了spring-cloud-starter-config依赖。如果你打算用RSA非对称加密，那还需要额外引入spring-security-rsa这个库。
核心配置思路：
启用加密功能： 在Config Server的配置文件（比如application.yml）里，最关键的一步就是设置spring.cloud.config.server.encrypt.enabled: true。这告诉Config Server，它需要处理加密过的配置。
选择加密方式并配置密钥：
对称加密（Shared Key）： 这是最简单直接的方式。你只需要在Config Server的配置文件中设置一个encrypt.key。比如：encrypt.key: "my-super-secret-key-for-config"。这个密钥可以是任何字符串，但越复杂越好。Config Server会用这个密钥来加密和解密。优点是配置简单，缺点是密钥需要手动管理，而且如果密钥泄露，所有依赖它的配置都会受影响。
非对称加密（RSA Key Pair）： 生产环境我更推荐用RSA。它需要一对密钥：公钥和私钥。Config Server用私钥来解密，而加密配置时可以用公钥（或者通过Config Server的/encrypt接口）。私钥通常存储在一个密钥库文件（如JKS）中，并通过配置指向它。 配置示例：
encrypt:
key-store:
location: classpath:/config-server.jks # 密钥库文件路径
password: your-keystore-password # 密钥库密码
alias: config-server-key # 密钥别名
secret: your-key-password # 密钥密码（如果有的话）生成JKS文件可以用keytool命令： keytool -genkeypair -alias config-server-key -keyalg RSA -keysize 2048 -storetype JKS -keystore config-server.jks 这个命令会引导你设置密钥库密码和密钥密码。
加密配置值： 一旦Config Server配置好了密钥，你就可以通过它的/encrypt接口来加密敏感值了。比如，你的Config Server运行在8888端口，想加密mysecretpassword： curl -X POST -d "mysecretpassword" http://localhost:8888/encrypt 它会返回一个加密后的字符串，比如b31d8e1c6a...。
在配置文件中使用加密值： 把这个加密后的字符串放到你的配置仓库文件（如Git仓库中的application.yml或service-dev.yml）中，但记得要用{cipher}前缀标记它，告诉Config Server这是一个加密值。
my-app:
database:
password: "{cipher}b31d8e1c6a..."当客户端从Config Server拉取配置时，Config Server会自动识别{cipher}前缀的字段，用配置好的密钥对其进行解密，然后将解密后的明文推送给客户端。客户端服务拿到的就是可以直接使用的明文密码，完全感知不到加密过程。
启用加密功能，主要是在Config Server端进行操作。这事儿可不是客户端的活儿，所有的加密解密逻辑都集中在Config Server。
首先，确保你的pom.xml里有spring-cloud-starter-config这个依赖。如果用的是RSA，那spring-security-rsa也得加上。我个人觉得，这个spring-security-rsa的名字有点误导人，它主要是提供了RSA相关的工具类，和Spring Security的认证授权关系不大，但用起来确实方便。
核心的启用开关，就是在Config Server的application.yml（或者bootstrap.yml）里加上这句：
spring:
cloud:
config:
server:
encrypt:
enabled: true这行配置就告诉Spring Cloud Config Server，它需要具备处理加密配置的能力。如果没加这句，或者设为false，那么即使你的配置里有{cipher}前缀的值，Config Server也会把它当作普通字符串处理，那可就出问题了。
接下来就是密钥的配置。这块儿是关键，选对称还是非对称，得看你的实际需求和安全考量。
对称加密（encrypt.key）： 最简单，直接在配置文件里写死一个密钥。比如：
encrypt: key: "a-very-long-and-complex-secret-key-for-config-encryption"
当然，生产环境直接把密钥写在配置文件里，这事儿想想都觉得不靠谱。更好的做法是把这个encrypt.key通过环境变量或者命令行参数传入Config Server，这样可以避免密钥硬编码在代码仓库里。比如启动时：java -jar config-server.jar --encrypt.key=your_secret_key。
非对称加密（encrypt.key-store）： 稍微复杂一点，但安全性更高。需要一个JKS（Java Key Store）文件，里面包含了RSA密钥对。
encrypt:
key-store:
location: file:/path/to/your/config-server.jks # 建议用绝对路径或外部挂载
password: keystore_password
alias: rsa_key_alias
secret: key_password # 如果你的私钥有单独的密码这个JKS文件必须安全存放，不能随便泄露。通常会把它放在Config Server能够访问到的安全位置，并且权限严格控制。
配置完成后，重启Config Server。如果一切顺利，它应该能正常启动，并且/encrypt和/decrypt接口就能用了。如果启动失败，多半是密钥配置有问题，或者JCE策略文件（Java 8及更早版本可能需要）没到位。我记得以前碰到过因为JCE策略文件没安装，导致加密算法强度不够，服务直接起不来的情况，挺折腾人的。
加密和解密的过程，其实大部分工作都是Config Server自动完成的，我们主要关注如何把明文变成密文，以及如何把密文放到配置里。
加密操作：
这个步骤是在Config Server已经运行起来，并且配置好了加密密钥的前提下进行的。
使用Config Server的/encrypt接口： 这是最常用、也最推荐的方式。你只需要向Config Server的/encrypt接口发送一个POST请求，请求体就是你想要加密的明文。 比如，你的Config Server运行在http://localhost:8888，你想加密字符串my-super-secret-password：
curl -X POST -d "my-super-secret-password" http://localhost:8888/encrypt
Config Server会返回一个加密后的字符串，通常很长，类似这样： b31d8e1c6a...0f2e1a4d (这只是个示例，实际会更复杂)。
如果你的Config Server配置的是RSA密钥，那么这个/encrypt接口会使用公钥进行加密。如果配置的是对称密钥，则使用对称密钥加密。
将加密后的值放入配置文件： 拿到加密后的字符串后，你需要把它放到你的配置仓库文件（比如Git仓库里的application.yml、dev.yml等）中。关键点是，一定要在前面加上{cipher}前缀，这样Config Server才知道这是一个需要解密的字段。
# application.yml 或某个具体的环境配置文件
spring:
datasource:
username: myuser
password: "{cipher}b31d8e1c6a...0f2e1a4d" # 这里是上面加密得到的字符串
my-service:
api-key: "{cipher}another-encrypted-string-here"这样，当客户端服务从Config Server拉取配置时，Config Server看到{cipher}前缀，就会自动用它配置的私钥（RSA）或共享密钥（对称）去解密这个值，然后把解密后的明文my-super-secret-password传给客户端。
解密操作（Config Server自动完成）：
客户端服务不需要做任何额外的配置或引入额外的依赖来解密这些值。Spring Cloud Config客户端库在从Config Server获取配置时，Config Server已经把加密的值解密成了明文。
这意味着，你的客户端服务代码中，依然是像平常一样通过@Value("${spring.datasource.password}")或者Environment对象来获取配置值，拿到的就是已经解密后的明文。
注意事项：
整个流程下来，你会发现客户端对加密解密过程是完全透明的，Config Server承担了所有的安全处理职责，这确实是一个非常优雅的设计。
生产环境下的密钥管理和轮换，这可不是小事，直接关系到整个系统的安全性。在我看来，这块儿比单纯地启用加密功能要复杂得多，因为它涉及到运维、安全策略和自动化。
密钥管理：
避免硬编码和直接文件存储：
集成秘密管理系统（Vaults）： 这是生产环境最推荐的方式。像HashiCorp Vault、AWS KMS、Azure Key Vault、Google Cloud Secret Manager等，都是专门用来安全存储、管理和分发秘密的。
最小权限原则： Config Server的运行用户只应该拥有读取其所需密钥的最小权限。不要给它过多的文件系统权限或者Vault权限。
密钥轮换：
密钥轮换是定期更换加密密钥以降低长期风险的过程。即使密钥没有泄露，定期更换也能防范潜在的未知漏洞或未来可能的破解技术。
对称密钥轮换： 这是最麻烦的一种。
非对称密钥（RSA）轮换： 相对来说，RSA的轮换可以更平滑一些，但也有其复杂性。
最佳实践：
在我看来，密钥管理和轮换是个持续性的挑战。尤其是在微服务架构下，服务数量庞大，配置项也多，没有一个好的秘密管理系统和自动化流程，这块儿的安全保障就很难落地。
以上就是Spring Cloud Config配置加密的完整实现方案的详细内容，更多请关注php中文网其它相关文章！
每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。
广告
收藏
收藏
收藏
Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
432
