SpringBoot中password.properties属性替换失效问题求助

核心问题根源 #

你的security.xml是在Servlet初始化阶段被读取的，这个阶段早于Spring Boot上下文的初始化完成时机。此时Spring的环境变量体系还未完全加载，spring.config.import引入的passwords.properties里的$${api.username}无法被Spring完成替换，而Servlet容器本身不支持这种占位符解析，所以环境变量传递的属性无法生效。

可行解决方案 #

方案1：将环境变量提前注入系统属性（快速适配XML场景） #

在Spring Boot启动类中，提前把环境变量注入到JVM系统属性中，让Servlet容器在解析security.xml时能直接读取到系统属性的占位符值：

@SpringBootApplication
public class YourApplication {
    public static void main(String[] args) {
        // 读取环境变量并设置为系统属性
        String apiUsername = System.getenv("api.username");
        if (apiUsername != null) {
            System.setProperty("api.username", apiUsername);
        }
        SpringApplication.run(YourApplication.class, args);
    }
}

同时修改passwords.properties，移除转义写法，直接让security.xml的${api.username}读取系统属性：

# passwords.properties 中可以保留硬编码作为 fallback（可选）
api.username=default_user

此时Servlet容器解析security.xml时，会优先读取系统属性中的api.username值（即环境变量传递的内容），没有时才用passwords.properties的硬编码值。

方案2：替换XML配置为Java Config（Spring Boot推荐方式） #

既然是Spring Boot应用，建议完全用Java代码替代XML配置AuthFilter，这样可以直接利用Spring的环境变量解析能力：

@Configuration
public class AuthFilterConfig {
    @Autowired
    private Environment env;

    @Bean
    public FilterRegistrationBean<AuthFilter> authFilterRegistration() {
        FilterRegistrationBean<AuthFilter> registrationBean = new FilterRegistrationBean<>();
        AuthFilter authFilter = new AuthFilter();
        // 直接从Spring环境中读取属性（支持properties、环境变量等多种来源）
        authFilter.setApiUsername(env.getProperty("api.username"));
        // 设置过滤器拦截的URL路径
        registrationBean.addUrlPatterns("/your-api-path/*");
        // 设置过滤器优先级（如果需要）
        registrationBean.setOrder(1);
        registrationBean.setFilter(authFilter);
        return registrationBean;
    }
}

这种方式彻底绕开了XML占位符的问题，所有属性都由Spring统一管理，不管是来自配置文件还是环境变量都能正常解析。

方案3：通过ServletContextInitializer提前注入属性 #

实现ServletContextInitializer接口，在Servlet容器初始化前把Spring环境中的属性注入到ServletContext，让security.xml可以读取这些属性：

@Component
public class ServletContextPropertyInjector implements ServletContextInitializer {
    @Autowired
    private Environment env;

    @Override
    public void onStartup(ServletContext servletContext) throws ServletException {
        // 将Spring环境中的属性设置到ServletContext
        String apiUsername = env.getProperty("api.username");
        servletContext.setAttribute("api.username", apiUsername);
    }
}

注意：不同Servlet容器对${}占位符读取ServletContext属性的支持不同，比如Tomcat需要额外配置才能启用该功能，所以此方案兼容性稍差，优先推荐前两种。

内容的提问来源于stack exchange，提问作者Varad raikar