加密凭据存入源代码推送到公共Git仓库是否安全？有哪些更优方案？

将包含加密凭据的配置文件推送到公共Git仓库存在较高安全风险，不建议这么做。原因是：哪怕凭据经过对称加密，只要攻击者获取到加密后的密文，就可以通过暴力破解、彩虹表攻击等方式尝试破解，一旦你的解密密钥泄露，所有密文会直接被还原为明文；同时公共仓库有大量自动敏感信息扫描工具，加密后的敏感字段也会成为攻击者的重点针对目标，进一步提升泄露风险。

• 本地配置忽略提交：将包含敏感信息的配置文件（比如你当前的s3配置段所在的yaml文件）单独拆分，加入.gitignore规则，不提交到仓库。仓库中仅保留带占位符的配置示例文件，实际使用的敏感值由开发、运维人员在本地/生产环境单独配置，完全不进入版本控制系统。
  示例仓库中的配置模板如下：

s3:
  endpoint: 你的S3服务地址
  key: 替换为实际S3访问密钥
  secret: 替换为实际S3访问密钥
  bucket: 存储桶名称

• 用外部配置传递敏感值：利用Spring Boot的外部配置优先级特性，不在配置文件中写入任何敏感值，启动时通过启动参数、系统环境变量传入对应值。
  比如通过启动参数传入的命令如下：

java -jar your-app.jar --s3.key=实际密钥 --s3.secret=实际密钥

也可以提前在系统中设置S3_KEY、S3_SECRET环境变量，Spring Boot会自动匹配对应配置项，完全不需要将敏感值写入代码仓库中的任何文件。

• 使用专业密钥/凭据管理服务：生产环境推荐使用专门的凭据管理组件存储敏感信息，比如HashiCorp Vault、各大云服务商提供的KMS密钥管理服务/凭据管理器。应用启动时通过身份认证从凭据管理服务中动态拉取S3等服务的真实凭据，本地不需要存储任何敏感配置。如果是部署在云环境中，还可以直接给应用实例绑定对应S3访问权限的IAM角色，不需要手动维护任何S3密钥，进一步降低泄露风险。

如果你坚持要使用Spring Encryptors加密配置的方案，必须保证解密主密钥完全和代码仓库分离，仅通过启动参数、环境变量等方式在应用启动时传入，且主密钥需要满足高复杂度要求，避免被暴力破解。

内容的提问来源于stack exchange，提问作者Minh