如何在Docker中为Spring Boot项目的Maven插件配置Jasypt解密密钥

方案1：直接写入ENTRYPOINT（仅临时测试可用，生产禁止） #

可以直接把jasypt参数加到ENTRYPOINT配置中，改后代码如下：

ENTRYPOINT ["java", "-jar", "-Dspring.profiles.active=staging", "-Djasypt.encryptor.password=你的加密密钥", "/app.jar"]

注意：该方式会将密钥明文硬编码到Dockerfile和构建后的镜像中，任何能拉取镜像的人都可以直接查看到密钥，属于高危操作，仅能用于本地临时测试。就算通过Docker构建参数ARG动态传入密钥，也会保存在镜像的历史层中，依然存在泄露风险。

方案2：容器运行时传入环境变量（推荐，实现简单） #

Spring Boot支持自动将大写+下划线格式的系统环境变量，映射为小写+点格式的配置项，你只需要在运行容器时通过-e参数传入JASYPT_ENCRYPTOR_PASSWORD环境变量即可，不需要修改现有Dockerfile和业务代码：

docker run -e JASYPT_ENCRYPTOR_PASSWORD=你的加密密钥 你的镜像名称

该方式密钥不会保存在镜像中，只有容器运行环境能获取到，安全性远高于硬编码。

方案3：Jenkins流水线注入（适配你现有CI/CD场景） #

你当前使用Jenkins流水线构建部署，可以直接通过Jenkins凭据管理功能实现密钥自动注入，全程不需要人工操作，也不会泄露密钥：

1. 登录Jenkins，进入「凭据管理」，新增一个Secret text类型的凭据，填入你的jasypt加密密钥，设置一个凭据ID（比如jasypt_staging_password）
2. 修改你的Jenkins流水线配置，在运行容器的步骤中引入凭据，作为环境变量传入容器即可，示例配置如下：

pipeline {
    agent any
    environment {
        // 从Jenkins凭据中读取密钥，自动脱敏
        JASYPT_PWD = credentials('jasypt_staging_password')
    }
    stages {
        // 此处保留你原有的构建、打包、推送镜像等步骤
        stage('启动容器') {
            steps {
                sh 'docker run -d -e JASYPT_ENCRYPTOR_PASSWORD=${JASYPT_PWD} 你的镜像名称'
            }
        }
    }
}

Jenkins会自动对日志中的密钥进行脱敏处理，不会在构建日志中明文显示密钥，完全适配你现有的部署流程，不需要修改项目代码和Dockerfile。

方案4：密钥管理服务存储（生产级高安全场景） #

如果你们团队有统一配置中心（比如Nacos、Apollo）或者云厂商密钥管理服务（KMS），可以将密钥存储在这些专业的密钥管理组件中，服务启动时自动拉取对应密钥，不需要在部署环节配置，安全性最高，不过依赖对应的基础设施。

内容的提问来源于stack exchange，提问作者GremlinAtTheDisco