如何在Spring Boot应用中安全存储并传递主密钥（Masterkey）？

1. 借助操作系统安全凭据存储 #

• Linux 可使用 libsecret/GNOME Keyring、kwallet，Windows 用 Credential Manager，macOS 用 Keychain。运维首次启动时手动输入主密钥存入系统密钥库，应用启动时通过对应系统API读取。
  • 实现：Spring Boot 可通过ProcessBuilder执行系统命令（如Linux下的secret-tool），或借助JNA调用系统凭据存储的原生接口获取密钥。
  • 优势：密钥不会明文落地，受操作系统权限管控，仅应用运行用户可访问。
  • 注意：需确保应用运行的系统用户拥有访问凭据存储的权限，不同操作系统配置逻辑略有差异。

2. 启动时通过临时管道/套接字传递密钥 #

• 运维编写辅助脚本，先交互式获取主密钥，再启动Spring Boot应用并通过匿名管道传递密钥；若配置为系统服务，可结合systemd的临时交互流程（如指定终端等待输入）。
  • 示例bash脚本：

    read -s -p "输入主密钥: " masterkey
    java -jar your-app.jar < <(echo "$masterkey")
    

    应用通过System.in读取输入的密钥。
  • 优势：密钥仅在内存中流转，不会写入文件；自动重启时若需无人值守，可结合内存缓存方案配合使用。

3. 内存缓存+硬件信息加密存储 #

• 首次启动时运维输入密钥，应用利用服务器硬件信息（如UUID、CPU ID）生成临时加密密钥，将主密钥加密后存储在本地小型文件中；应用重启时读取加密文件，用硬件信息生成的密钥解密获取主密钥。
  • 优势：自动重启无需手动输入，主密钥不会明文存储，硬件信息绑定降低泄露风险。
  • 注意：若服务器硬件/系统信息变更（如更换主板、重装系统），需重新手动输入主密钥。

4. 特权守护进程中转密钥 #

• 编写轻量级守护进程（用Go/C实现），运维启动时输入主密钥存入内存，监听本地Unix套接字；Spring Boot应用启动时向该进程请求密钥，守护进程设置严格的文件权限，仅应用运行用户可连接。
  • 优势：密钥始终仅在内存中存在，应用多次重启无需重复输入，安全性较高。

内容的提问来源于stack exchange，提问作者SM. Hosseini