Spring Boot jar包启动时如何在控制台设置数据库连接参数并隐藏密码

基于Java原生API的基础实现 #

核心依赖JDK自带的System.console().readPassword()实现无回显输入，同时兼容无原生控制台的场景，示例代码如下：

import java.sql.Connection;
import java.sql.DriverManager;
import java.util.Arrays;
import java.util.Scanner;
import java.io.Console;

public class DBConnectionWithHiddenPwd {
    public static void main(String[] args) {
        String dbUrl = "jdbc:mysql://your-host:3306/your_db";
        String username = "your_username";
        char[] passwordChars = null;
        
        Console console = System.console();
        if (console != null) {
            // 原生控制台场景下隐式输入，内容不会回显
            passwordChars = console.readPassword("请输入数据库密码：");
        } else {
            // 适配IDE调试、管道运行等无原生控制台场景
            System.out.print("当前环境不支持隐式输入，密码会明文显示，请输入数据库密码：");
            Scanner scanner = new Scanner(System.in);
            passwordChars = scanner.nextLine().toCharArray();
            scanner.close();
        }
        
        String password = new String(passwordChars);
        // 立即清空char数组，降低内存泄露风险
        Arrays.fill(passwordChars, ' ');
        
        try (Connection conn = DriverManager.getConnection(dbUrl, username, password)) {
            System.out.println("数据库连接成功");
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            // 清空密码引用，方便GC回收
            password = null;
        }
    }
}

注意事项：

• 使用char数组存储密码而非String，因为String是不可变对象，内存存活时间不可控，char数组可以手动覆盖内容，降低密码被内存dump窃取的风险
• System.console()仅在原生系统控制台场景生效，比如直接在cmd、bash、powershell中执行java -jar your-app.jar时正常，IDEA、Eclipse默认启动配置下会返回null，需要单独开启IDE的原生控制台支持。

SpringBoot项目适配方案 #

如果是SpringBoot项目，无需修改现有数据源配置，在上下文启动前插入密码输入逻辑，将密码注入系统属性即可，优先级高于配置文件：

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import java.io.Console;
import java.util.Arrays;

@SpringBootApplication
public class YourAppApplication {
    public static void main(String[] args) {
        Console console = System.console();
        if (console != null) {
            char[] pwd = console.readPassword("请输入数据库密码：");
            System.setProperty("spring.datasource.password", new String(pwd));
            Arrays.fill(pwd, ' ');
        }
        SpringApplication.run(YourAppApplication.class, args);
    }
}

该方案下密码不会出现在配置文件、进程启动参数列表中，完全符合安全要求。

非交互式后台运行场景适配 #

如果服务需要后台运行不支持交互式输入，可以结合操作系统原生密钥能力实现密码隐藏：

• Windows环境：调用系统凭据管理器存储密码，启动时从凭据管理器读取
• Linux环境：使用pass等加密密钥管理工具存储密码，启动时通过命令调用读取，不会明文暴露
• 容器环境：使用K8s Secret、Docker Secrets等能力加密存储密码，启动时挂载为仅启动用户可读的临时文件，读取文件内容作为密码使用。

内容的提问来源于stack exchange，提问作者NiyazAkh