Spring Boot如何从AWS Secrets Manager获取环境专属密钥

核心目标：实现prefix: /app/${env}的动态替换，并正确加载对应环境的密钥 #

1. 确保${env}变量在Bootstrap阶段可被解析

Spring Boot的bootstrap.yml在应用上下文初始化早期加载，因此需要保证env变量能在这个阶段被读取到，常见的注入方式：

• JVM参数传递：启动应用时添加参数，例如：

  java -Denv=prod -jar your-spring-boot-app.jar
  

• 系统环境变量传递：设置环境变量（Spring Boot会自动将大写环境变量转为小写匹配占位符）：
  • Linux/macOS：export ENV=prod
  • Windows：set ENV=prod
• 贴合Spring规范的替代方案：如果env对应Spring Profile（如dev/test/prod），可以直接使用spring.profiles.active变量，将prefix改为：

  prefix: /app/${spring.profiles.active}
  

  启动时通过--spring.profiles.active=prod指定环境即可。

2. 调整配置适配密钥路径结构

根据你的密钥存储路径（/app/${env}/app-un和/app/${env}/app-pw是两个独立密钥），需要修改配置以加载多个密钥：

aws:
  secretsmanager:
    default-context: application
    prefix: /app/${env}
    # 列出需要加载的密钥名称，会自动拼接prefix形成完整路径
    secrets:
      - app-un
      - app-pw
    fail-fast: true
    enabled: true

如果你的环境中是单个密钥包含多个属性（例如/app/${env}/app-credential中同时存储app-un和app-pw），则保留name配置即可：

aws:
  secretsmanager:
    default-context: application
    prefix: /app/${env}
    name: app-credential
    fail-fast: true
    enabled: true

3. 验证配置有效性

• 启动应用时添加--debug参数，查看Spring环境属性日志，确认app-un和app-pw已被加载
• 在代码中注入org.springframework.core.env.Environment对象，通过environment.getProperty("app-un")验证属性是否可用

内容的提问来源于stack exchange，提问作者Renjith