Spring Boot中google-services.json文件的安全存放位置咨询

一、resources目录的安全性 #

• resources目录下的文件不会被公网用户直接访问或列出：Spring Boot打包后，resources里的文件会嵌入到jar包内部，属于应用私有资源，并非对外暴露的静态资源（静态资源默认是static、public等目录）。随机网络用户无法通过HTTP请求获取这些文件，也不能列出目录内容。
• 直接放在resources目录本身不会导致敏感信息（如API密钥）被公网泄露，但要注意jar包的分发安全：如果jar包被上传到公开仓库或不慎泄露，他人可通过解压jar包获取该文件，这是需要规避的风险。

二、更安全的存放/处理方案 #

如果要进一步提升敏感配置的安全性，推荐以下几种方式：

• 提取敏感信息到环境变量：从google-services.json中抽离API密钥等敏感字段，设置为服务器环境变量，代码中通过System.getenv()或Spring的@Value注解读取。原JSON文件可保留非敏感部分放在resources，或完全通过代码构造所需配置对象。
• 存放在应用外部目录：将google-services.json放在服务器上的私有目录（非应用jar包所在目录），代码中通过绝对路径读取文件流。这种方式避免敏感文件被打包进jar，降低分发泄露的风险。
• 使用配置中心管理：对于分布式或团队协作场景，用Spring Cloud Config等配置中心集中管理敏感配置，配合权限控制和加密机制，进一步提升安全性。
• 加密文件内容：如果必须放在resources目录，对google-services.json进行加密处理，代码读取文件流后先解密再使用，即使jar包泄露，也无法直接获取有效敏感信息。

内容的提问来源于stack exchange，提问作者BlueBoy