SpringBoot项目MySQL数据库连接密码安全配置方案咨询

下面是几种生产环境常用的非明文配置MySQL密码的方案，按需选择：

1. 用Jasypt加密配置项 #

这是Spring Boot生态里最常用的加密方式，直接对配置文件里的敏感字段加密：

• 第一步：引入Jasypt依赖（Maven示例）

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>

• 第二步：生成加密后的密码
  可以写个简单的main方法调用Jasypt的加密工具，或者用命令行：

import org.jasypt.util.text.BasicTextEncryptor;

public class JasyptTest {
    public static void main(String[] args) {
        BasicTextEncryptor encryptor = new BasicTextEncryptor();
        encryptor.setPassword("你的加密密钥"); // 这个密钥不要存在代码里，用环境变量或启动参数传递
        String encryptedPassword = encryptor.encrypt("你的MySQL明文密码");
        System.out.println(encryptedPassword);
    }
}

• 第三步：在application.yml里配置加密后的密码，用ENC()包裹：

spring:
  datasource:
    username: root
    password: ENC(加密后的字符串)
jasypt:
  encryptor:
    password: ${JASYPT_ENCRYPTOR_PASSWORD} # 加密密钥从环境变量读取

启动项目时，通过环境变量传递加密密钥：export JASYPT_ENCRYPTOR_PASSWORD=你的密钥，再启动jar包。

2. 直接使用环境变量 #

把数据库密码存在服务器的环境变量里，配置文件只引用变量：

• 在服务器上设置环境变量（以Linux为例）：

export DB_PASSWORD=你的MySQL密码

• 修改application.yml：

spring:
  datasource:
    username: root
    password: ${DB_PASSWORD}

这样配置文件里完全看不到明文，密码只在服务器环境中存在。

3. 启动时通过系统属性传递 #

启动jar包时用-D参数传递密码，配置文件引用该属性：

• 启动命令：

java -jar your-app.jar -Ddb.password=你的MySQL密码

• application.yml配置：

spring:
  datasource:
    username: root
    password: ${db.password}

这种方式适合临时测试或者不想修改环境变量的场景。

4. 用配置中心管理敏感配置（分布式场景） #

如果是分布式项目，用Spring Cloud Config或者Nacos这类配置中心，把敏感配置加密后存在配置中心，项目启动时从配置中心拉取：

• 以Spring Cloud Config为例，开启配置中心的加密功能，把MySQL密码加密后存在配置仓库（比如Git），项目配置文件只配置配置中心地址，启动时拉取加密后的配置并自动解密。

5. 操作系统密钥管理工具 #

利用操作系统自带的密钥管理功能，比如：

• Linux：用keyring存储密码，项目里通过脚本读取后注入到环境变量
• Windows：用Credential Manager存储，通过Java代码调用API读取
• 云环境：比如AWS Secrets Manager、阿里云RAM密钥管理，项目通过SDK获取密码，不需要在配置里写任何敏感信息

内容的提问来源于stack exchange，提问作者Ayden