如何在WildFly中安全存储LDAP账号密码并通过Java获取？

之前你用Base64编码存在系统属性的方式确实不安全，因为Base64只是编码而非加密，很容易被解码。WildFly推荐用Credential Store（11+版本优先）或Vault（旧版本兼容）来加密存储敏感凭证，以下是具体实现步骤：

一、使用Credential Store（WildFly 11+ 推荐） #

这是WildFly Elytron子系统提供的安全存储机制，专门用于管理敏感凭据。

1. 创建Credential Store #

通过WildFly的命令行工具jboss-cli（Linux用jboss-cli.sh，Windows用jboss-cli.bat）执行命令：

# 先连接到运行中的WildFly服务器
connect
# 创建存储，文件放在服务器data目录，storePassword是访问该存储的密码
/subsystem=elytron/credential-store=myLdapStore:add(location="ldapstore.jceks", relative-to="jboss.server.data.dir", credential-reference={clear-text="storePassword"})

2. 存入LDAP用户名和密码 #

继续在jboss-cli中执行，添加两个别名分别存储用户名和密码：

# 存入LDAP搜索用户名
/subsystem=elytron/credential-store=myLdapStore:add-alias(alias="ldap.search.user", secret-value="你的LDAP用户名")
# 存入LDAP搜索密码
/subsystem=elytron/credential-store=myLdapStore:add-alias(alias="ldap.search.password", secret-value="你的LDAP密码")

3. 绑定到JNDI（简化代码获取） #

为了让Java代码更方便获取，把凭证绑定到JNDI节点：

/subsystem=elytron/credential-store=myLdapStore:add-alias(alias="ldap.search.user", secret-value="你的LDAP用户名", jndi-name="java:jboss/ldap/user")
/subsystem=elytron/credential-store=myLdapStore:add-alias(alias="ldap.search.password", secret-value="你的LDAP密码", jndi-name="java:jboss/ldap/password")

4. Java代码获取凭证 #

通过JNDI直接lookup即可，无需处理解密逻辑：

import javax.naming.InitialContext;
import javax.naming.NamingException;

public class LdapCredentialHelper {
    public static void getLdapCredentials() {
        try {
            InitialContext ctx = new InitialContext();
            // 从JNDI获取用户名
            String ldapSearchUser = (String) ctx.lookup("java:jboss/ldap/user");
            // 从JNDI获取密码
            String ldapSearchPassword = (String) ctx.lookup("java:jboss/ldap/password");
            
            // 在这里使用LDAP凭证做后续操作
        } catch (NamingException e) {
            // 处理异常
            e.printStackTrace();
        }
    }
}

二、使用WildFly Vault（兼容旧版本） #

如果你的WildFly版本低于11，可以用Vault来加密存储凭证。

1. 创建Vault #

使用WildFly自带的vault.sh（Linux）或vault.bat（Windows）工具创建Vault：

# 初始化Vault，生成加密存储文件
./vault.sh -keystore vault.keystore -storepass vaultStorePass -vaultdir $JBOSS_HOME/vault -iteration 120 -salt 12345678
# 添加LDAP用户名到Vault
./vault.sh -keystore vault.keystore -storepass vaultStorePass -vaultdir $JBOSS_HOME/vault -alias ldapUser -secattr 你的LDAP用户名
# 添加LDAP密码到Vault
./vault.sh -keystore vault.keystore -storepass vaultStorePass -vaultdir $JBOSS_HOME/vault -alias ldapPass -secattr 你的LDAP密码

执行过程中会生成掩码密码，后续配置要用这个掩码。

2. 配置standalone.xml #

在配置文件中添加Vault配置，并引用Vault中的凭证作为系统属性：

<!-- 添加Vault配置 -->
<vault>
    <vault-option name="KEYSTORE_URL" value="${jboss.home.dir}/vault/vault.keystore"/>
    <vault-option name="KEYSTORE_PASSWORD" value="MASK-生成的掩码密码"/>
    <vault-option name="KEYSTORE_ALIAS" value="vault"/>
    <vault-option name="SALT" value="12345678"/>
    <vault-option name="ITERATION_COUNT" value="120"/>
    <vault-option name="ENC_FILE_DIR" value="${jboss.home.dir}/vault/"/>
</vault>

<!-- 配置系统属性引用Vault中的凭证 -->
<system-properties>
    <property name="ldap.user" value="${VAULT::ldap::ldapUser::1}"/>
    <property name="ldap.password" value="${VAULT::ldap::ldapPass::1}"/>
</system-properties>

3. Java代码获取凭证 #

直接读取系统属性即可，WildFly会自动解密Vault中的值：

public class LdapCredentialHelper {
    public static void getLdapCredentials() {
        String ldapSearchUser = System.getProperty("ldap.user");
        String ldapSearchPassword = System.getProperty("ldap.password");
        
        // 在这里使用LDAP凭证做后续操作
    }
}

安全优化建议 #

• 不要明文写Credential Store或Vault的访问密码，可嵌套存储（比如用Vault存Credential Store的访问密码）。
• 确保存储文件（ldapstore.jceks或Vault相关文件）的权限设置为仅WildFly进程可读写，避免文件泄露。
• 集群环境下，需同步存储文件到所有节点，或使用数据库-backed的Credential Store实现集中管理。

内容的提问来源于stack exchange，提问作者Alex