Spring Boot 2.x如何实现自定义SSL密钥库加载逻辑

这个需求完全可以实现，Spring Boot 2.x提供了充足的扩展点支持自定义SSL证书加载逻辑，不需要依赖本地固定路径的证书文件。

Spring Boot 2.x针对内嵌服务器的SSL配置，提供了两个常用的扩展方案，你可以根据自己使用的版本选择：

方案1：自定义SslStoreProvider（适用于Spring Boot 2.3及以上版本） #

Spring Boot 2.3版本后新增了SslStoreProvider接口，只要你向Spring容器中注册自定义的SslStoreProvider Bean，Spring Boot会优先使用这个Bean加载密钥库和信任库，完全覆盖默认的本地文件加载逻辑。
示例代码如下：

import org.springframework.boot.web.embedded.tomcat.SslStoreProvider;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.io.ByteArrayInputStream;
import java.security.KeyStore;

@Configuration
public class CustomSslConfig {

    // 你自己封装的AWS Secrets服务工具类，用于从AWS Secrets Manager获取证书和密码
    private final AwsSecretsService awsSecretsService;

    public CustomSslConfig(AwsSecretsService awsSecretsService) {
        this.awsSecretsService = awsSecretsService;
    }

    @Bean
    public SslStoreProvider customSslStoreProvider() throws Exception {
        // 1. 从AWS Secrets获取p12格式证书的二进制内容，以及证书密码
        byte[] p12CertContent = awsSecretsService.getSecretValue("your-cert-secret-key").getBinaryValue();
        String keyStorePass = awsSecretsService.getSecretValue("your-cert-password-key").getStringValue();

        // 2. 直接将二进制内容加载为KeyStore对象，不需要落盘到本地
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        keyStore.load(new ByteArrayInputStream(p12CertContent), keyStorePass.toCharArray());

        // 3. 返回自定义的SslStoreProvider实现
        return new SslStoreProvider() {
            @Override
            public KeyStore getKeyStore() {
                return keyStore;
            }

            @Override
            public KeyStore getTrustStore() {
                // 如果你不需要自定义信任库，直接返回null即可使用JDK默认的信任库
                return null;
            }
        };
    }
}

方案2：自定义WebServerFactoryCustomizer（兼容所有Spring Boot 2.x版本） #

如果你的Spring Boot版本低于2.3，可以直接通过自定义内嵌服务器工厂的方式，手动配置SSL参数，直接传入你从第三方服务加载的KeyStore对象。以Tomcat内嵌服务器为例，示例代码如下：

import org.apache.catalina.connector.Connector;
import org.apache.tomcat.util.net.SSLHostConfig;
import org.apache.tomcat.util.net.SSLHostConfigCertificate;
import org.springframework.boot.web.embedded.tomcat.TomcatServletWebServerFactory;
import org.springframework.boot.web.server.WebServerFactoryCustomizer;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.io.ByteArrayInputStream;
import java.security.KeyStore;

@Configuration
public class CustomSslConfig {

    private final AwsSecretsService awsSecretsService;

    public CustomSslConfig(AwsSecretsService awsSecretsService) {
        this.awsSecretsService = awsSecretsService;
    }

    @Bean
    public WebServerFactoryCustomizer<TomcatServletWebServerFactory> sslCustomizer() {
        return factory -> {
            // 关闭默认的SSL配置，使用我们自定义的Connector
            factory.setSsl(null);
            factory.addAdditionalTomcatConnectors(createSslConnector());
        };
    }

    private Connector createSslConnector() {
        Connector connector = new Connector(TomcatServletWebServerFactory.DEFAULT_PROTOCOL);
        connector.setPort(443);
        connector.setSecure(true);
        connector.setScheme("https");

        try {
            // 从AWS Secrets加载证书和密码
            byte[] p12CertContent = awsSecretsService.getSecretValue("your-cert-secret-key").getBinaryValue();
            String keyStorePass = awsSecretsService.getSecretValue("your-cert-password-key").getStringValue();

            KeyStore keyStore = KeyStore.getInstance("PKCS12");
            keyStore.load(new ByteArrayInputStream(p12CertContent), keyStorePass.toCharArray());

            // 配置Tomcat的SSL参数
            SSLHostConfig sslHostConfig = new SSLHostConfig();
            SSLHostConfigCertificate cert = new SSLHostConfigCertificate(sslHostConfig, SSLHostConfigCertificate.Type.RSA);
            cert.setCertificateKeyStore(keyStore);
            cert.setCertificateKeyStorePassword(keyStorePass);
            sslHostConfig.addCertificate(cert);
            connector.addSslHostConfig(sslHostConfig);
        } catch (Exception e) {
            throw new RuntimeException("自定义SSL证书加载失败", e);
        }
        return connector;
    }
}

• 使用自定义加载逻辑时，不需要再配置server.ssl.key-store、server.ssl.key-store-password等本地文件相关的SSL配置，避免出现配置冲突
• 原有的server.port=443、security.require-ssl=true配置可以保留，不会和自定义逻辑冲突
• 证书存储到AWS Secrets Manager时建议使用二进制类型存储，避免Base64编码转换过程中出现证书损坏的问题
• 如果你使用Jetty或者Undertow作为内嵌服务器，扩展逻辑和上述方案类似，Spring Boot都提供了对应的服务器配置扩展入口

内容的提问来源于stack exchange，提问作者Safari