如何让Spring Boot自动配置支持Base64编码的PKCS12密钥库？

问题背景 #

我有一个Spring Boot 3.1应用，配置如下：

spring:
  ssl:
    bundle:
      pem:
        my-client:
          keystore:
            certificate: "MIIKyAIBAzCCC..."
            private-key: "keystore-password"
            type: "PKCS12"

说明：certificate的值实际是一个包含根证书、中间证书和叶证书的Base64编码密钥库。

运行应用时出现如下异常：

Application run failed java.io.FileNotFoundException: /home/vcap/app/MIIKyAIBAzCCC...

文档未明确说明该配置必须指向文件资源，相关自动配置类为org.springframework.boot.autoconfigure.ssl.SslProperties。

问题：如何让Spring自动配置支持字符串格式的Base64编码密钥库？

解决方案 #

方法1：使用Spring资源前缀指定字符串内容 #

Spring资源加载器支持data:前缀的URI，可以直接将Base64字符串包装为符合规范的data URI，让Spring正确识别为内容而非文件路径：

spring:
  ssl:
    bundle:
      pem:
        my-client:
          keystore:
            certificate: "data:application/x-pkcs12;base64,MIIKyAIBAzCCC..."
            private-key: "keystore-password"
            type: "PKCS12"

注意匹配密钥库类型对应的MIME类型：

• PKCS12类型对应application/x-pkcs12
• JKS类型对应application/java-keystore

方法2：自定义SSL Bundle配置器 #

如果data:前缀方式不满足需求，可以通过自定义SslBundleConfigurer手动解析Base64字符串并构建密钥库：

1. 创建自定义配置器类：

import org.springframework.boot.autoconfigure.ssl.SslBundle;
import org.springframework.boot.autoconfigure.ssl.SslBundleConfigurer;
import org.springframework.boot.autoconfigure.ssl.SslProperties;
import org.springframework.boot.ssl.SslStoreBundle;
import org.springframework.boot.ssl.SslStoreDetails;
import org.springframework.util.Base64Utils;

import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.security.KeyStore;
import java.security.KeyStoreException;
import java.security.NoSuchAlgorithmException;
import java.security.cert.CertificateException;

public class Base64SslBundleConfigurer implements SslBundleConfigurer {

    @Override
    public void configure(SslBundle bundle, SslProperties properties) {
        SslProperties.Pem.Bundle pemBundle = properties.getBundle().getPem().get("my-client");
        if (pemBundle == null || pemBundle.getKeystore() == null) {
            return;
        }
        String base64Keystore = pemBundle.getKeystore().getCertificate();
        String password = pemBundle.getKeystore().getPrivateKey();
        String type = pemBundle.getKeystore().getType();

        try {
            KeyStore keyStore = KeyStore.getInstance(type);
            byte[] keystoreBytes = Base64Utils.decodeFromString(base64Keystore);
            keyStore.load(new ByteArrayInputStream(keystoreBytes), password.toCharArray());

            SslStoreDetails keyStoreDetails = SslStoreDetails.of(keyStore, password);
            SslStoreBundle storeBundle = SslStoreBundle.of(keyStoreDetails, null, null);
            bundle.update(storeBundle);
        } catch (KeyStoreException | IOException | NoSuchAlgorithmException | CertificateException e) {
            throw new RuntimeException("Failed to load Base64 encoded keystore", e);
        }
    }
}

2. 在配置类中注册该Bean：

import org.springframework.boot.autoconfigure.ssl.SslBundleConfigurer;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class SslConfiguration {

    @Bean
    public SslBundleConfigurer base64SslBundleConfigurer() {
        return new Base64SslBundleConfigurer();
    }
}

方法3：临时文件中转（不推荐） #

可以在应用启动阶段将Base64字符串写入临时文件，再将配置指向该文件路径。但此方式存在临时文件泄露风险，且增加应用复杂度，仅作为备选方案。

内容的提问来源于stack exchange，提问作者rwinner