如何安全存储连接本地Spring Cloud Config Server的用户名与密码？

关于环境变量的使用 #

完全可以用环境变量替代配置文件里的明文账号密码，这是非常实用的做法。你可以拆分配置项，避免硬编码敏感信息：

把原来的配置：

spring.config.import=optional:configserver:http://root:s3cr3t@localhost:8088

改成：

spring.config.import=optional:configserver:http://localhost:8088
spring.cloud.config.username=${CONFIG_SERVER_USERNAME}
spring.cloud.config.password=${CONFIG_SERVER_PASSWORD}

然后在部署环境中设置对应的环境变量：

• CONFIG_SERVER_USERNAME=root
• CONFIG_SERVER_PASSWORD=s3cr3t
  Spring会自动识别并填充这些占位符，无需修改代码。

其他安全存储最佳实践 #

• 用Spring Cloud Vault托管敏感数据：把账号密码这类敏感信息存到Vault密钥管理服务中，应用通过Spring Cloud Vault集成直接从Vault拉取凭据，全程避免明文存储。配置时只需指定Vault地址和应用的认证方式即可。
• 借助操作系统密钥管理工具：比如Windows凭据管理器、macOS钥匙串、Linux密钥环，通过Spring的相关集成（如spring-boot-starter-security配合系统密钥库）读取这些安全存储的凭据，进一步降低泄露风险。
• 严格管控版本库中的配置文件：务必将包含敏感信息的配置文件（如生产环境的application-prod.properties）添加到.gitignore，绝对禁止提交到公共或内部代码仓库。
• 利用Config Server的加密功能：Spring Cloud Config Server支持对配置内容加密，你可以在配置仓库中存储加密后的密码，然后在Config Server端配置解密密钥。客户端获取配置时会自动解密，既保证了配置仓库的安全性，又不影响应用正常使用。

内容的提问来源于stack exchange，提问作者Sweta Sharma