Spring Boot集成Flyway时，如何保护SQL文件及敏感信息安全？

1. 将SQL迁移文件移出源码仓库的可行方案 #

• 独立存储迁移文件并动态加载
  将SQL文件托管在内部私有代码仓库（如自建GitLab）或加密对象存储（如OSS、S3），部署阶段通过CI/CD脚本将文件拉取到应用服务器的指定目录（如/opt/flyway-migrations），然后在Spring Boot配置中指定Flyway的加载路径：

  flyway:
    locations: filesystem:/opt/flyway-migrations
  

  确保该目录仅对部署账号和应用进程有读写权限，避免源码泄露时迁移文件一同暴露。

• 自定义Flyway迁移解析器
  实现Flyway的MigrationResolver接口，从外部安全存储（如加密配置中心、内部密钥管理服务）直接加载迁移脚本的内容，而非读取本地文件。例如在resolveMigrations方法中调用加密存储的API获取SQL内容，包装为Migration对象返回，完全绕过本地文件存储。

• 构建时排除迁移文件，CI/CD单独分发
  在Maven或Gradle构建配置中排除resources/db/migration目录，避免迁移文件被打包进应用JAR：

  <build>
    <resources>
      <resource>
        <directory>src/main/resources</directory>
        <excludes>
          <exclude>db/migration/**</exclude>
        </excludes>
      </resource>
    </resources>
  </build>
  

  后续通过CI/CD流程将迁移文件单独上传到部署环境，与应用包分离管理。

2. 无法隐藏SQL文件时，保护敏感信息的方案 #

• Flyway占位符+环境变量/加密配置
  在SQL文件中用占位符替代敏感值，例如：

  INSERT INTO external_service_config (api_token) VALUES ('${EXTERNAL_API_TOKEN}');
  

  在Spring Boot配置中绑定占位符到环境变量或加密配置项：

  flyway:
    placeholders:
      EXTERNAL_API_TOKEN: ${ENV_EXTERNAL_API_TOKEN}
  

  敏感值通过环境变量传入（如容器部署时设置环境变量），或使用Spring Cloud Config配合Jasypt加密存储，启动时自动解密注入。

• Java迁移替代SQL迁移存储敏感逻辑
  将包含敏感信息的迁移逻辑用Java类实现，继承Flyway的BaseJavaMigration，从安全配置源（如@Value注入加密配置、密钥管理服务）获取敏感值，通过JDBC执行操作，避免敏感值出现在SQL文件中：

  public class V2__Add_External_Service_Token extends BaseJavaMigration {
      @Value("${external.service.token}")
      private String serviceToken;
  
      @Override
      public void migrate(Context context) throws Exception {
          try (PreparedStatement pstmt = context.getConnection().prepareStatement(
              "INSERT INTO external_service_config (api_token) VALUES (?)"
          )) {
              pstmt.setString(1, serviceToken);
              pstmt.executeUpdate();
          }
      }
  }
  

  此方式还能避免SQL注入风险，同时敏感值完全脱离SQL文件。

• 加密SQL文件内容并自定义执行逻辑
  对包含敏感信息的SQL文件进行对称加密（如AES），实现Flyway的Callback接口，在beforeMigration阶段解密文件到临时目录，执行完成后删除临时文件。确保加密密钥通过环境变量或密钥管理服务注入，不硬编码在应用中。

• 拆分迁移脚本，隔离敏感内容
  将不含敏感信息的结构变更（如建表、加字段）保留为普通SQL文件，将涉及敏感值的操作单独抽离，通过上述Java迁移或占位符方式处理，最小化敏感信息的暴露范围。

内容的提问来源于stack exchange，提问作者Soufiane Odf