SpringBoot集成Jasypt：启动前解密外部配置属性方案咨询

针对你的场景，核心问题是解密时机太晚，而ApplicationRunner是容器启动后执行，确实赶不上数据源初始化。以下是两种可靠的实现方案，不需要依赖Maven插件，完全在运行时处理：

方案一：利用jasypt-spring-boot-starter原生自动解密（推荐） #

你已经引入了jasypt-spring-boot-starter，这个starter本身就支持在Spring环境初始化阶段自动解密所有配置属性（包括外部配置文件），不需要自定义代码。你只需要调整配置，让它识别你的DEC(value)格式：

步骤1：配置解密前缀后缀 #

在任意配置源（application.yml、外部配置文件、启动参数、环境变量）中添加：

jasypt:
  encryptor:
    property:
      prefix: DEC(  # 替换默认的ENC(
      suffix: )     # 替换默认的)
    password: ${YOUR_ENCRYPTION_KEY}  # 加密密钥，建议通过环境变量/启动参数传递，比如--jasypt.encryptor.password=xxx

步骤2：确保外部配置被Spring加载 #

如果你的外部配置文件是通过启动参数指定的（比如--spring.config.additional-location=/path/to/external.yml），SpringBoot会在环境初始化时自动加载这些配置，starter会自动扫描所有属性，对DEC(value)格式的值进行解密，这个时机远早于数据源的AutoConfiguration，所以不会出现数据库连接失败的问题。

方案二：自定义EnvironmentPostProcessor（适用于复杂自定义逻辑） #

如果需要更灵活的解密逻辑（比如特定属性的特殊处理），可以实现EnvironmentPostProcessor，它会在Spring容器初始化、所有Bean创建之前执行，刚好能在数据源连接前完成解密：

步骤1：实现EnvironmentPostProcessor #

import org.springframework.boot.SpringApplication;
import org.springframework.boot.env.EnvironmentPostProcessor;
import org.springframework.core.env.ConfigurableEnvironment;
import org.springframework.core.env.MapPropertySource;
import org.springframework.core.env.MutablePropertySources;
import org.springframework.core.env.PropertySource;
import com.ulisesbocchio.jasyptspringboot.encryptor.DefaultLazyEncryptor;

public class CustomDecryptProcessor implements EnvironmentPostProcessor {
    private static final String DEC_PREFIX = "DEC(";
    private static final String DEC_SUFFIX = ")";

    @Override
    public void postProcessEnvironment(ConfigurableEnvironment env, SpringApplication app) {
        // 利用starter的加密器，自动读取配置的密钥
        DefaultLazyEncryptor encryptor = new DefaultLazyEncryptor(env);
        MutablePropertySources propertySources = env.getPropertySources();

        // 遍历所有配置源，处理加密属性
        for (PropertySource<?> source : propertySources) {
            processPropertySource(source, encryptor);
        }
    }

    private void processPropertySource(PropertySource<?> source, DefaultLazyEncryptor encryptor) {
        if (source instanceof MapPropertySource mapSource) {
            for (String key : mapSource.getPropertyNames()) {
                Object value = mapSource.getProperty(key);
                if (value instanceof String strValue && strValue.startsWith(DEC_PREFIX) && strValue.endsWith(DEC_SUFFIX)) {
                    // 提取加密内容并解密
                    String encrypted = strValue.substring(DEC_PREFIX.length(), strValue.length() - DEC_SUFFIX.length());
                    String decrypted = encryptor.decrypt(encrypted);
                    // 更新配置源中的值
                    ((java.util.Map<String, Object>) mapSource.getSource()).put(key, decrypted);
                }
            }
        }
    }
}

步骤2：注册处理器 #

在src/main/resources/META-INF/spring.factories中添加以下内容，让SpringBoot启动时加载这个处理器：

org.springframework.boot.env.EnvironmentPostProcessor=com.your.package.CustomDecryptProcessor

关键说明 #

• 为什么不用双入口？ 双入口会导致SpringBoot的AutoConfiguration重复加载或混乱，完全没必要，上述两种方案已经完美解决时机问题。
• 密钥安全：加密密钥绝对不能硬编码在配置文件中，建议通过环境变量（比如export JASYPT_ENCRYPTOR_PASSWORD=xxx）或启动参数（--jasypt.encryptor.password=xxx）传递，jasypt-spring-boot-starter也支持从文件、密钥库等安全渠道获取密钥。

内容的提问来源于stack exchange，提问作者Ruven