如何安全加密Tomcat9 server.xml中的Keystore密码？

针对你在Win19、Java8、Tomcat9环境下遇到的自定义加密方案密钥易泄露问题，推荐以下几种更安全的解决思路：

• 用Tomcat自带Digester工具加密
  Tomcat9自带的digester工具就能完成密码加密，步骤很直接：

1. 进入Tomcat的bin目录，找到digester.bat
2. 打开命令行执行：digester.bat -a AES 你的密钥库密码，会生成类似{AES}xxxxxx的加密串
3. 把server.xml里的明文密码替换成这个加密串即可，Tomcat启动时会自动解密

如果担心默认密钥不够安全，还能修改conf/catalina.properties里的digester.digest相关参数自定义密钥，甚至把密钥放到环境变量中，避免直接写在配置文件里，大幅降低泄露风险。

• 借助Windows凭据管理器存储密码
  既然是Windows Server 2019环境，直接用系统自带的凭据管理器存密码更稳妥：

1. 打开凭据管理器，添加一个通用凭据，比如名称设为TomcatKeystorePass，密码填你的密钥库密码
2. 写个简单的Java类，通过调用PowerShell命令读取凭据里的密码（Java8可实现），打包成jar放到Tomcat的lib目录
3. 修改server.xml，通过自定义的Realm或Valve调用这个类获取密码，或者把密码设为系统属性传递给Tomcat

这种方式下密码存在系统级安全存储中，不会出现在Tomcat配置文件里，从根源上避免了密钥暴露问题。

• 通过JVM启动参数传递密码
  不把密码写在配置文件里，启动时动态传给Tomcat：

1. 在Tomcat的bin目录新建或修改setenv.bat，添加一行：set CATALINA_OPTS=%CATALINA_OPTS% -Dkeystore.password=你的真实密码
2. 将server.xml里的密码字段替换为${keystore.password}
3. 把setenv.bat的权限设置为只有管理员能读取，防止普通用户查看

这个方案操作简单，只要控制好启动脚本的权限，安全性比自定义加密方案高很多。

• 硬件安全模块（HSM）集成（高安全需求场景）
  如果对安全等级要求极高，可以考虑用硬件安全模块存储密钥和密码，Tomcat通过PKCS#11接口访问HSM获取密码。不过该方案需要额外硬件设备，成本较高，适合企业级高安全场景。

内容的提问来源于stack exchange，提问作者MarcosInAction