如何在PCF中为SpringBoot应用外置多环境Truststore与Keystore

我来分享几个在PCF中实现多环境外置Truststore/Keystore的可行方案，都是实际项目里验证过的，完美解决你不想把证书打包进应用、适配多环境的需求：

方案一：使用User Provided Service (UPS) 存储证书内容 #

这是PCF中最常用的外置配置方式，无需额外存储服务，把证书内容通过自定义服务注入应用：

• 步骤1：为每个环境创建独立的UPS服务
  先把Truststore/Keystore文件转成Base64编码（避免特殊字符转义问题），然后用CF CLI创建服务：

  # 针对生产环境创建证书服务
  cf create-user-provided-service prod-cert-service -p '{
    "truststore_b64": "Base64编码的truststore.jks内容",
    "keystore_b64": "Base64编码的keystore.jks内容",
    "truststore_pass": "your-truststore-password",
    "keystore_pass": "your-keystore-password"
  }'
  
  # 同理创建测试/开发环境的服务，比如dev-cert-service、test-cert-service
  

• 步骤2：在manifest.yml中绑定对应环境的服务
  根据不同环境的manifest文件（比如manifest-dev.yml、manifest-prod.yml）绑定对应的UPS：

  # manifest-prod.yml示例
  applications:
  - name: your-springboot-app
    services:
    - prod-cert-service
    # 其他配置...
  

• 步骤3：SpringBoot应用中加载证书
  应用启动时，读取UPS注入的环境变量，把Base64内容写入PCF容器的临时目录（/tmp），再配置SSL参数：

  @Value("${vcap.services.prod-cert-service.credentials.truststore_b64}")
  private String truststoreBase64;
  
  @Value("${vcap.services.prod-cert-service.credentials.truststore_pass}")
  private String truststorePass;
  
  @PostConstruct
  public void setupSsl() throws Exception {
      // 写入临时文件
      Path truststorePath = Paths.get("/tmp/truststore.jks");
      Files.write(truststorePath, Base64.getDecoder().decode(truststoreBase64));
  
      // 设置系统属性
      System.setProperty("javax.net.ssl.trustStore", truststorePath.toString());
      System.setProperty("javax.net.ssl.trustStorePassword", truststorePass);
      // Keystore同理...
  }
  

  注：PCF容器重启后/tmp目录会清空，但每次启动都会重新生成，不影响使用。

方案二：使用Volume Services 挂载证书文件 #

如果偏好直接操作物理证书文件，可以用PCF的卷服务挂载外部存储，每个环境对应独立的卷：

• 步骤1：创建环境专属的卷服务实例
  以Pivotal Volume Service为例，创建卷实例：

  # 生产环境卷实例
  cf create-service p-volume-service standard prod-cert-volume -c '{"size": 1}'
  

• 步骤2：上传证书文件到卷中
  通过CF CLI的cf volume-upload命令把本地的truststore.jks、keystore.jks上传到对应卷：

  cf volume-upload prod-cert-volume -p /local/path/to/certs/
  

• 步骤3：在manifest.yml中挂载卷并配置VM参数
  绑定卷到应用的指定路径，然后在JAVA_OPTS中指定证书路径：

  # manifest-prod.yml示例
  applications:
  - name: your-springboot-app
    services:
    - prod-cert-volume
    volume_mounts:
    - volume_id: prod-cert-volume
      mount_path: /app/certs
    env:
      JAVA_OPTS: >-
        -Djavax.net.ssl.trustStore=/app/certs/truststore.jks
        -Djavax.net.ssl.trustStorePassword=your-password
        -Djavax.net.ssl.keyStore=/app/certs/keystore.jks
        -Djavax.net.ssl.keyStorePassword=your-password
  

方案三：结合Spring Cloud Config Server（适合已有配置中心的场景） #

如果你的项目已经在用Spring Cloud Config管理多环境配置，可以把证书的Base64内容存入Config Server的环境配置文件中：

• 步骤1：在Config Server的对应环境配置（比如application-prod.yml）中添加证书配置：

  ssl:
    truststore:
      b64: "Base64编码的truststore内容"
      password: "your-password"
    keystore:
      b64: "Base64编码的keystore内容"
      password: "your-password"
  

• 步骤2：SpringBoot应用中读取配置并生成临时文件
  和方案一的代码逻辑类似，只是从Config Server的配置中读取，而非UPS的环境变量：

  @Value("${ssl.truststore.b64}")
  private String truststoreBase64;
  
  @Value("${ssl.truststore.password}")
  private String truststorePass;
  
  @PostConstruct
  public void setupSsl() throws Exception {
      Path truststorePath = Paths.get("/tmp/truststore.jks");
      Files.write(truststorePath, Base64.getDecoder().decode(truststoreBase64));
      System.setProperty("javax.net.ssl.trustStore", truststorePath.toString());
      System.setProperty("javax.net.ssl.trustStorePassword", truststorePass);
      // Keystore同理...
  }
  

内容的提问来源于stack exchange，提问作者Avinash Jethy