Spring Boot中跨应用可解密密码加密方案选型咨询

阿华AIGC实验室

2026-5-12

Spring Boot中可解密密码的最佳实现方案

嘿，针对你这个需要可逆加密（能解密出原密码）的场景，BCrypt这种单向哈希算法确实完全不适用——毕竟它天生就设计成不能解密的。下面是几个在Spring Boot环境里最实用的实现方案，刚好能满足你让App2拿着密钥就能解密的需求：

1. AES对称加密（首选方案）

对称加密用同一个密钥完成加密和解密，完美匹配你的需求：你的Spring Boot应用用密钥加密密码存储，App2拿到相同密钥就能解密出原密码。这里有两种落地方式：

方式一：自定义AES工具类

如果想自己掌控加密逻辑，可以封装一个简单的AES工具类，用Java原生的加密API实现：

import javax.crypto.Cipher;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;

public class AESEncryptor {
    private static final String AES_ALGORITHM = "AES";
    private final SecretKeySpec secretKey;

    // 密钥需要是16/24/32位，对应AES-128/192/256加密强度
    public AESEncryptor(String encryptionKey) {
        this.secretKey = new SecretKeySpec(encryptionKey.getBytes(), AES_ALGORITHM);
    }

    // 加密明文密码
    public String encrypt(String plainPassword) throws Exception {
        Cipher cipher = Cipher.getInstance(AES_ALGORITHM);
        cipher.init(Cipher.ENCRYPT_MODE, secretKey);
        byte[] encryptedBytes = cipher.doFinal(plainPassword.getBytes());
        return Base64.getEncoder().encodeToString(encryptedBytes);
    }

    // 解密加密后的密码
    public String decrypt(String encryptedPassword) throws Exception {
        Cipher cipher = Cipher.getInstance(AES_ALGORITHM);
        cipher.init(Cipher.DECRYPT_MODE, secretKey);
        byte[] decodedBytes = Base64.getDecoder().decode(encryptedPassword);
        byte[] decryptedBytes = cipher.doFinal(decodedBytes);
        return new String(decryptedBytes);
    }
}

在Spring Boot里，你可以把这个类注册为Bean，通过环境变量注入密钥（千万别硬编码！），之后在存储密码时调用encrypt方法，App2那边用相同的工具类和密钥调用decrypt就能拿到原密码。

方式二：用Jasypt Spring Boot Starter（更省心）

Jasypt专门为Spring Boot做了封装，能快速实现加密解密，不用自己写工具类：

先引入Maven依赖：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>

配置加密密钥（建议通过环境变量传入，比如export JASYPT_ENCRYPTOR_PASSWORD=your-secret-key），配置文件里只需要写：

jasypt.encryptor.password=${JASYPT_ENCRYPTOR_PASSWORD}

生成加密后的密码：可以用Jasypt的命令行工具，或者写个简单的测试类调用API生成，加密后的字符串要套上ENC()标识，比如ENC(xxxxxx)，然后把这个字符串存在你的数据库或配置里。
App2如果是Spring Boot应用，同样引入依赖、配置相同密钥，就能直接解密；如果不是，也可以引入Jasypt核心库实现解密逻辑。

2. 必须注意的密钥管理细节

绝对不要硬编码密钥：密钥是安全的核心，要放在环境变量、配置中心（比如Nacos、Spring Cloud Config）或者专门的密钥管理服务（比如HashiCorp Vault）里，避免代码泄露导致密码全暴露。
定期轮换密钥：不要长期使用同一个密钥，定期更换能降低密钥泄露后的风险。
严格权限控制：确保只有你的Spring Boot应用和App2能访问到密钥，限制其他无关服务或人员的权限。