Spring Boot中含用户名密码的Bean是否安全？能否限制其作用域？

你当前的配置属性类代码如下：

@Component
@ConfigurationProperties(prefix = "bezon.authentication")
class AuthenticationProperties {
   private String username;
   private String password;
}

默认情况下，@Component会把这个Bean注册为全局单例，确实所有Spring组件都能通过注入拿到这个Bean，对于存储用户名、密码这类敏感信息的类来说，存在不必要的安全风险。不需要修改Bean的作用域，而是通过以下方式限制其访问范围：

1. 移除全局注册，仅在需要的地方绑定配置 #

删掉类上的@Component注解，转而在仅需使用该配置的服务配置类中，用@EnableConfigurationProperties来绑定配置属性：

@Configuration
@EnableConfigurationProperties(AuthenticationProperties.class)
class ThirdPartyServiceConfig {
    // 仅在这个配置类中注入AuthenticationProperties，用于创建第三方服务实例
    @Bean
    ThirdPartyService thirdPartyService(AuthenticationProperties authProps) {
        return new ThirdPartyService(authProps.getUsername(), authProps.getPassword());
    }
}

这样一来，AuthenticationProperties不会被注册为全局Bean，只有这个配置类能访问它，其他组件无法直接注入。

2. 限制类的访问权限 #

保持AuthenticationProperties的包私有修饰符（默认不写访问修饰符），并将它和使用它的服务配置类放在同一个包下。这样其他包的组件甚至无法直接引用这个类，从语法层面阻断非法访问。

3. 额外安全建议 #

• 敏感配置信息（如密码）不要明文写在配置文件里，优先用环境变量、系统属性或者专门的密钥管理工具存储。
• 避免在日志中打印AuthenticationProperties的内容，防止敏感信息泄露。

内容的提问来源于stack exchange，提问作者user21341297