WildFly 26+如何用Elytron或其他方案加密系统属性敏感值？

针对WildFly 26中无法通过传统Vault加密系统属性敏感值的问题，以下是几种可行的替代方案：

1. 启动脚本结合Elytron凭证存储读取敏感值 #

Elytron凭证存储虽不能直接在system-properties中用表达式引用，但可通过启动脚本先读取敏感值，再以系统属性参数传入服务器：

• 操作步骤：
  1. 使用elytron-tool创建凭证存储并添加敏感值：

     elytron-tool credential-store create --location=./wildfly-cred-store.cs --password=your-store-password
     elytron-tool credential-store add --location=./wildfly-cred-store.cs --password=your-store-password --alias=keystore-pwd --secret=your-actual-keystore-password
     

  2. 编写启动脚本（以Bash为例），读取凭证存储值并启动WildFly：

     #!/bin/bash
     # 读取凭证存储中的敏感值
     KEYSTORE_PWD=$(elytron-tool credential-store --location=./wildfly-cred-store.cs --password=your-store-password read --alias=keystore-pwd)
     TRUSTSTORE_PWD=$(elytron-tool credential-store --location=./wildfly-cred-store.cs --password=your-store-password read --alias=truststore-pwd)
     # 启动服务器并传入系统属性
     ./standalone.sh -Djavax.net.ssl.keyStorePassword=$KEYSTORE_PWD -Djavax.net.ssl.trustStorePassword=$TRUSTSTORE_PWD
     

2. 环境变量配合系统属性引用 #

将敏感值存入操作系统环境变量，在standalone.xml中通过环境变量表达式引用，同时借助操作系统层面的加密机制保护环境变量：

• 配置示例：

  <system-properties>
      <property name="external.api.secret" value="${env:EXTERNAL_API_SECRET}"/>
      <property name="db.backup.password" value="${env:DB_BACKUP_PWD}"/>
  </system-properties>
  

• 环境变量保护方式：
  • Linux：可使用encryptfs加密存储环境变量配置文件的目录，或通过keyring工具管理敏感值，启动时读取到环境变量。
  • Windows：利用DPAPI加密环境变量对应的配置文件，或通过PowerShell的安全命令读取敏感值并设置环境变量。

3. 自定义WildFly扩展模块加载外部敏感存储 #

若需要更深度集成的方案，可编写自定义Elytron扩展模块，从外部安全存储（如HashiCorp Vault、企业级密钥管理系统）读取敏感值，在服务器启动早期注入为系统属性：

• 核心思路：
  1. 实现WildFly的启动钩子（Startup Hook）或扩展SecurityDomain组件，在服务器初始化阶段连接外部存储。
  2. 读取敏感值后通过System.setProperty()设置为系统属性，确保应用部署前完成注入。
• 部署方式：
  将自定义模块打包后放入WildFly的modules目录，在standalone.xml中配置启用该扩展模块。

4. 加密属性文件结合MicroProfile Config #

若应用基于MicroProfile规范，可使用加密属性文件配合Elytron解密功能，通过MicroProfile Config加载敏感值为系统属性：

• 操作步骤：
  1. 使用elytron-tool加密敏感值，写入secrets.properties：

     api.secret=${ELYTRON_ENCRYPT:encrypted-value-here}
     

  2. 在standalone.xml中配置MicroProfile Config属性源，指定使用Elytron解密：

     <subsystem xmlns="urn:wildfly:microprofile-config-smallrye:1.0">
         <config-source name="secrets" location="secrets.properties" />
         <property name="smallrye.config.encryptor" value="elytron" />
     </subsystem>
     

  3. 敏感值会被自动解密，可通过@ConfigProperty在应用中引用，或配置为全局系统属性。

内容的提问来源于stack exchange，提问作者Djorkaelff Aguiar Cumbi