如何在Spring Cloud Config Server中安全存储证书文件？

针对Pivotal Application Service（PAS）的托管场景，不需要把pfx证书提交到Git仓库，也不需要往服务器本地放文件，以下3种方案都可以直接落地：

方案1：使用PAS原生CredHub存储敏感凭证 #

这是PAS平台推荐的标准做法，不需要额外搭建服务：

• 先把本地pfx证书转成base64编码字符串，执行命令base64 -w 0 mycertificate.pfx即可获取编码结果
• 将编码后的证书字符串、证书密码存入平台内置的CredHub，通过CUPS（用户提供服务）绑定到你的应用，平台会自动将内容加密存储，应用启动时会把解密后的内容注入到运行环境
• 代码侧只需要新增base64内容读取的逻辑，不需要改动原有SSL初始化的核心流程，本地开发时仍然可以保留类路径加载证书的方式，通过多profile配置区分环境即可

方案2：通过配置服务器加密存储证书内容 #

如果你已经在使用Spring Cloud Config这类配置中心，可以直接用配置中心的加密能力：

• 同样把pfx转成base64字符串，和证书密码一起用配置中心的加密密钥加密，密文可以直接存在配置中心的Git后端，即使仓库泄露也无法拿到明文证书
• 应用启动时配置中心会自动解密配置，注入到应用上下文
• 配置示例：

my-config:
  # 兼容本地开发的类路径配置
  certificate: classpath:/certificate/dev/mycertificate.pfx
  # 生产环境注入的base64证书内容，{cipher}标记表示是加密内容
  certificate-content: "{cipher}加密后的base64证书字符串"
  cert-password: "{cipher}加密后的证书密码"

方案3：直接通过PAS环境变量注入 #

适合没有接入CredHub和配置中心的轻量场景：

• 部署应用时通过cf set-env命令，把base64编码后的证书内容、证书密码设置为应用的环境变量，PAS会将环境变量加密存储在平台数据库中
• 代码侧直接读取对应环境变量，解码后生成流传给KeyStore即可，全程不涉及本地文件操作

原有代码的两个待修正问题 #

1. KeyStore类型配置错误：你使用的是pfx格式证书，对应KeyStore类型应该是PKCS12，不是JKS，部分JDK版本下用JKS类型加载pfx会直接报错
2. 流处理逻辑有隐患：手动调用certificateResource.getInputStream().close()没有意义，第一次load已经消费了流，重复获取流在部分资源实现下会报错，建议用try-with-resources自动管理流关闭

适配多场景的参考代码 #

SSLContext sslContext = SSLContext.getInstance(SSL_CONTEXT_PROTOCOL);
KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
// pfx格式对应PKCS12类型
KeyStore keystore = KeyStore.getInstance("PKCS12");

// 自动管理流关闭
try (InputStream certInputStream = buildCertInputStream()) {
    keystore.load(certInputStream, myConfig.getCertPassword().toCharArray());
}

keyManagerFactory.init(keystore, myConfig.getCertPassword().toCharArray());
sslContext.init(keyManagerFactory.getKeyManagers(), null, null);
requestContext.put(SSL_SOCKET_FACTORY, sslContext.getSocketFactory());

// 统一证书流构造逻辑，兼容本地类路径、配置注入、环境变量多种来源
private InputStream buildCertInputStream() {
    // 优先读取注入的证书内容（生产环境）
    if (StringUtils.hasText(myConfig.getCertificateContent())) {
        byte[] certBytes = Base64.getDecoder().decode(myConfig.getCertificateContent());
        return new ByteArrayInputStream(certBytes);
    }
    // fallback到本地类路径加载（开发环境）
    return myConfig.getCertificate().getInputStream();
}

内容的提问来源于stack exchange，提问作者yrazlik