如何在webapp-runner.jar（嵌入式Tomcat）中配置加密SSL密钥库密码

因为webapp-runner本身不直接支持加密密码，你可以试试下面几个实用的方案：

1. 用前置解密脚本/程序传递明文密码 #

写一个简单的解密工具（Java程序或shell脚本），先把加密后的密码解密成明文，再把明文作为参数传给webapp-runner。

示例：Java解密程序 #

比如你用AES加密了密码，写个PasswordDecryptor类：

import javax.crypto.Cipher;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;

public class PasswordDecryptor {
    public static void main(String[] args) throws Exception {
        String encryptedPassword = args[0];
        String key = "your-custom-secret-key"; // 替换成你自己的解密密钥

        Cipher cipher = Cipher.getInstance("AES");
        SecretKeySpec secretKey = new SecretKeySpec(key.getBytes(), "AES");
        cipher.init(Cipher.DECRYPT_MODE, secretKey);
        
        byte[] decryptedBytes = cipher.doFinal(Base64.getDecoder().decode(encryptedPassword));
        System.out.println(new String(decryptedBytes));
    }
}

编译后，用以下命令启动应用：

# 先解密得到明文密码
DECRYPTED_PWD=$(java PasswordDecryptor "your-encrypted-password-string")

# 携带明文密码启动webapp-runner
java -Djavax.net.ssl.keyStore=./your-keystore.jks -Djavax.net.ssl.keyStorePassword=$DECRYPTED_PWD -jar webapp-runner.jar --enable-ssl your-app.war

注意：解密密钥要单独妥善保管，别和加密密码放在同一位置。

2. 扩展webapp-runner源码添加解密逻辑 #

webapp-runner是基于Jetty的开源工具，你可以fork它的源码，修改SSL配置部分的逻辑，让它支持解密传入的加密密码：

• 找到处理javax.net.ssl.keyStorePassword参数的代码（通常在Jetty的SSLContextFactory相关配置类里）
• 添加判断逻辑：如果密码带有自定义加密标记（比如前缀ENC:），就调用解密方法处理后再使用
• 重新打包成自己的webapp-runner.jar版本，之后启动时直接传入加密密码即可

这种方案更彻底，但需要你熟悉Jetty和webapp-runner的源码结构。

3. 利用部署环境的加密存储能力 #

如果是在服务器上部署：

• 用systemd管理服务的话，可以用LoadCredential功能存储加密密码，再通过前置脚本读取解密后启动应用
• 如果是容器化部署（比如Kubernetes），可以用Secret对象加密存储密码，容器内挂载后读取解密，再启动webapp-runner

内容的提问来源于stack exchange，提问作者Mahesh