Spring Boot 3.2：如何兼顾SSL Bundles与传统SSL配置及迁移策略？

一、官方隐含的兼容逻辑 #

Spring Boot 3.2其实默认做了一部分兼容：

• 传统的server.ssl.*配置会被自动转换成名为server的SSL Bundle，对应的Bean名称是serverSslBundle，可以直接注入这个Bean来复用旧配置，同时用上SSL Bundles的新特性。
• 对于javax.net.ssl.*系统属性，Spring Boot在创建默认SSL上下文时会自动读取，也可以通过SslBundle.createSystemSslBundle()直接生成基于这些属性的Bundle。

二、手动编写@Configuration转换自定义传统配置 #

如果你的项目有非server.ssl的自定义旧SSL配置（比如myapp.ssl.*），可以手动写配置类完成转换：

1. 先绑定旧配置属性：

@ConfigurationProperties(prefix = "myapp.ssl")
public class LegacySslProperties {
    private String keyStore;
    private String keyStorePassword;
    private String trustStore;
    private String trustStorePassword;
    // 其他传统SSL属性的getter/setter
}

2. 基于属性构建SSL Bundle：

@Configuration
@EnableConfigurationProperties(LegacySslProperties.class)
public class LegacySslBundleConfiguration {

    @Bean("myappSslBundle")
    public SslBundle myappSslBundle(LegacySslProperties properties, SslBundleConfigurer configurer) {
        SslBundle.Builder builder = SslBundle.builder();
        
        // 映射旧的密钥库配置
        builder.keyStore()
            .location(Resource.of(properties.getKeyStore()))
            .password(properties.getKeyStorePassword());
        
        // 映射旧的信任库配置（如果有）
        if (properties.getTrustStore() != null) {
            builder.trustStore()
                .location(Resource.of(properties.getTrustStore()))
                .password(properties.getTrustStorePassword());
        }
        
        // 应用Spring Boot默认的SSL配置（比如协议、 cipher套件等）
        return configurer.configure(builder).build();
    }
}

之后其他组件就能通过@Qualifier("myappSslBundle")注入这个Bundle使用。

三、成熟的迁移策略 #

阶段一：双配置共存，逐步切换组件 #

• 保留旧的javax.net.ssl.*和server.ssl.*配置，新开发的组件优先使用SslBundle注入；旧组件继续用传统配置。
• 自定义旧配置按上面的方法转换成SSL Bundle，逐步替换旧组件的使用方式。

阶段二：迁移配置到新格式 #

• 把server.ssl.*逐步迁移到spring.ssl.bundles.server.*，Spring Boot会优先读取新格式配置，没有的话 fallback到旧配置，不影响现有功能。
• 自定义配置同理，把myapp.ssl.*迁移到spring.ssl.bundles.myapp.*，之后可以移除手动转换的配置类，直接用Spring Boot自动配置的Bundle。

阶段三：完全移除旧配置支持 #

• 当所有组件都切换到SSL Bundles后，删除旧配置属性和手动转换代码，完全使用Spring Boot 3的新机制。

四、注意事项 #

• 新格式spring.ssl.bundles.*的优先级高于旧配置，迁移时要避免配置冲突。
• 不要完全手动构建SSL上下文，尽量用SslBundle.Builder和SslBundleConfigurer，能复用Spring Boot的默认安全配置。
• javax.net.ssl.*系统属性优先级极高，建议逐步替换为Spring Boot配置属性，方便统一管理。

内容的提问来源于stack exchange，提问作者Steve Storck