Spring（Gradle）项目如何单独存放Jasypt密钥实现数据库凭据安全存储

你需要先删除原有application.yaml中硬编码的jasypt.encryptor.password配置项，后续通过以下几种方案注入密钥：

方案1：启动参数/环境变量注入（全场景通用，生产环境首选） #

该方案和构建工具无关，依托Spring Boot原生配置优先级规则实现，不需要修改项目代码或构建配置：

• 生产环境启动jar包时直接通过命令行传入密钥：
  java -jar ticketing-service.jar --jasypt.encryptor.password=你的实际解密密钥
• 也可以预先配置系统环境变量，变量名设为JASYPT_ENCRYPTOR_PASSWORD，Spring Boot会自动将大写下划线格式的环境变量映射为对应配置项，无需额外适配
• 本地IDEA开发时，可直接在启动配置的「Environment variables」栏添加jasypt.encryptor.password=你的密钥即可正常启动

方案2：Gradle本地属性文件存储（开发环境友好） #

适合本地开发场景，不需要每次启动都手动输入密钥，同时避免密钥提交到代码仓库：

1. 在项目根目录新建gradle.properties文件（已有则直接修改），添加如下配置：
   jasypt.encryptor.password=你的实际解密密钥
2. 将gradle.properties添加到项目的.gitignore文件中，确保该文件不会被提交到代码仓库
3. 修改build.gradle文件，为bootRun任务添加系统属性注入配置：

   bootRun {
       systemProperty 'jasypt.encryptor.password', findProperty('jasypt.encryptor.password')
   }
   

4. 后续本地执行./gradlew bootRun启动项目时会自动读取配置中的密钥，无需额外操作

方案3：独立敏感配置文件存储 #

将密钥存放到单独的配置文件中，仅在本地保留不上传：

1. 新建application-sensitive.yaml文件，内容仅包含密钥配置：

   jasypt:
     encryptor:
       password: 你的实际解密密钥
   

2. 将application-sensitive.yaml加入.gitignore，避免提交到仓库
3. 启动项目时指定加载该配置文件即可：
   java -jar ticketing-service.jar --spring.profiles.include=sensitive
4. 本地IDEA开发时，在启动配置的「Active profiles」栏添加sensitive即可自动加载该配置

注意：Spring Boot配置优先级规则为：命令行参数 > 系统环境变量 > 外置配置文件 > 项目内置application.yaml，只要删除了原有yaml中的硬编码密钥，上述方案注入的密钥都会优先生效

内容的提问来源于stack exchange，提问作者horizon