Spring Boot项目在GKE中引用resources下client.pem文件问题

我有一个Spring Boot项目，在资源目录/src/main/resources下存放了client.pem文件。本地运行时，在application.properties中通过如下配置可正常引用该文件：

spring.datasource.url=jdbc:postgresql://*.*.*.*:5432/postgres?ssl=true&sslmode=verify-ca&sslcert=src/main/resources/client.pem

但部署到Google Kubernetes Engine（GKE）后该配置失效，尝试使用classpath:client.pem或/client.pem也无法解决。

问题根源 #

本地运行时，src/main/resources/client.pem是磁盘上的实际文件，PostgreSQL JDBC驱动可以直接读取。但部署到GKE后，Spring Boot项目会被打包成JAR包，client.pem变成了JAR内部的资源文件，JDBC驱动无法通过classpath:或相对路径访问JAR内的资源——因为驱动需要的是磁盘上的物理文件路径，而非JAR包内的资源路径。

可行解决方案 #

方案1：将证书挂载为容器内的物理文件（推荐） #

利用Kubernetes的Secret存储证书，然后挂载到容器的磁盘路径，让JDBC驱动可以直接读取。

步骤1：创建Kubernetes Secret存储证书

kubectl create secret generic postgres-ssl-cert --from-file=client.pem=src/main/resources/client.pem

步骤2：修改Deployment配置，挂载Secret到容器

在Deployment的spec.template.spec中添加卷和挂载配置：

spec:
  template:
    spec:
      containers:
      - name: your-spring-boot-app
        # 其他容器配置...
        volumeMounts:
        - name: ssl-cert-volume
          mountPath: /etc/postgres-ssl
          readOnly: true
      volumes:
      - name: ssl-cert-volume
        secret:
          secretName: postgres-ssl-cert
          items:
          - key: client.pem
            path: client.pem

步骤3：修改application.properties配置

将sslcert路径改为容器内的挂载路径：

spring.datasource.url=jdbc:postgresql://*.*.*.*:5432/postgres?ssl=true&sslmode=verify-ca&sslcert=/etc/postgres-ssl/client.pem

方案2：启动时将JAR内证书复制到临时文件 #

通过Spring Boot的初始化逻辑，把classpath中的client.pem复制到容器的临时目录，再动态修改数据源的SSL证书路径。

示例代码

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.context.event.ApplicationReadyEvent;
import org.springframework.context.event.EventListener;
import org.springframework.core.io.ClassPathResource;
import org.springframework.stereotype.Component;
import com.zaxxer.hikari.HikariDataSource;

import java.io.File;
import java.io.IOException;
import java.nio.file.Files;
import java.nio.file.StandardCopyOption;

@Component
public class SslCertSetup {

    @Autowired
    private HikariDataSource dataSource;

    @EventListener(ApplicationReadyEvent.class)
    public void setupSslCert() throws IOException {
        // 读取classpath中的证书文件
        ClassPathResource certResource = new ClassPathResource("client.pem");
        // 创建临时文件，容器退出时自动删除
        File tempCertFile = File.createTempFile("postgres-client", ".pem");
        tempCertFile.deleteOnExit();
        
        // 将证书复制到临时文件
        Files.copy(certResource.getInputStream(), tempCertFile.toPath(), StandardCopyOption.REPLACE_EXISTING);
        
        // 修改数据源的JDBC URL，替换sslcert参数
        String originalUrl = dataSource.getJdbcUrl();
        String updatedUrl = originalUrl.replaceFirst("sslcert=.*?(&|$)", 
            "sslcert=" + tempCertFile.getAbsolutePath() + "$1");
        dataSource.setJdbcUrl(updatedUrl);
    }
}

注意事项

• 确保项目使用的是HikariCP（Spring Boot默认数据源），如果用其他数据源，需要调整修改URL的方式。
• 临时文件会在容器重启后消失，但每次启动都会重新复制，不影响使用。

内容的提问来源于stack exchange，提问作者user09