Play Framework中密钥存储方案咨询：从Node.js迁移至Scala 2.13

针对数据库密码、JWT密钥这类敏感信息，Play框架结合Docker生态有多种存储方案，以下是从基础到进阶的可行选项，以及对环境变量方案的优化建议：

1. 基础方案：Play配置+环境变量（兼容你的现有方式） #

Play的HOCON配置文件（application.conf）原生支持环境变量占位符，这是对现有Docker环境变量方案的标准化适配：

• 在application.conf中使用占位符替代硬编码值：

  # 数据库密码
  db.default.password = ${DB_PASSWORD}
  # JWT密钥
  jwt.secret = ${JWT_SECRET}
  # Play内置安全密钥（用于会话、加密）
  play.http.secret.key = ${PLAY_HTTP_SECRET_KEY}
  

• 启动Docker容器时通过环境变量传入真实值：

  docker run -e DB_PASSWORD="your-db-pass" -e JWT_SECRET="your-jwt-key" your-play-app:latest
  

  或者在docker-compose.yml中配置：

  services:
    play-auth-service:
      image: your-play-app:latest
      environment:
        - DB_PASSWORD=your-db-pass
        - JWT_SECRET=your-jwt-key
  

2. 进阶方案：Docker Secrets（替代环境变量，更安全） #

环境变量的弊端是容易通过printenv、容器元数据泄露，Docker Secrets（适用于Swarm集群或K8s）是更安全的替代方案：

• 创建Docker Secret：

  echo "your-db-pass" | docker secret create db_password -
  echo "your-jwt-key" | docker secret create jwt_secret -
  

• 在docker-compose.yml中挂载Secret到容器文件系统：

  services:
    play-auth-service:
      image: your-play-app:latest
      secrets:
        - db_password
        - jwt_secret
  secrets:
    db_password:
      external: true
    jwt_secret:
      external: true
  

• 在application.conf中直接读取Secret文件内容：

  db.default.password = ${file("/run/secrets/db_password")}
  jwt.secret = ${file("/run/secrets/jwt_secret")}
  

  HOCON的file()函数会自动读取指定路径的文件内容作为配置值，避免环境变量泄露风险。

3. 生产级方案：外部秘密管理服务 #

对于多集群、大规模部署场景，使用专业秘密管理服务（如HashiCorp Vault、AWS Secrets Manager）是最优解：

• 实现一个Play模块，在应用启动时从秘密管理服务拉取凭证：

  import com.google.inject.AbstractModule
  import play.api.Configuration
  import javax.inject.Singleton
  
  class SecretLoaderModule extends AbstractModule {
    override def configure(): Unit = {
      bind(classOf[SecretService]).to(classOf[VaultSecretService]).asEagerSingleton()
    }
  }
  
  trait SecretService {
    def getDbPassword: String
    def getJwtSecret: String
  }
  
  @Singleton
  class VaultSecretService(config: Configuration) extends SecretService {
    private val vaultClient = // 初始化Vault客户端（使用Vault Java SDK）
    private val vaultPath = config.get[String]("vault.secret.path")
  
    override def getDbPassword: String = {
      vaultClient.logical().read(vaultPath).getData().get("db_password").toString
    }
  
    override def getJwtSecret: String = {
      vaultClient.logical().read(vaultPath).getData().get("jwt_secret").toString
    }
  }
  

• 在需要使用凭证的组件中注入SecretService，直接获取敏感值，无需依赖配置文件：

  class DbService(secretService: SecretService) {
    private val dbPassword = secretService.getDbPassword
    // 初始化数据库连接
  }
  

4. 开发/测试环境的简化方案 #

开发阶段可以使用本地配置文件（加入.gitignore）避免提交敏感信息：

• 创建local.conf文件：

  include "application.conf"
  
  db.default.password = "dev-db-pass"
  jwt.secret = "dev-jwt-key"
  

• 启动应用时指定加载该配置：

  sbt -Dconfig.resource=local.conf run
  

关键注意事项 #

• 永远不要将敏感凭证硬编码到application.conf或提交到版本控制；
• 生产环境禁用配置文件的明文日志输出，避免凭证泄露；
• 对于JWT密钥，建议使用至少256位的随机字符串，可通过sbt playGenerateSecret生成高强度密钥。

内容的提问来源于stack exchange，提问作者Cross Counter