Spring Boot应用中Feign客户端未解密配置内的{cipher}格式密码

DevOps 小满

2026-11-6

问题根因

Spring Cloud 配置加密的解密逻辑未生效，本质是解密链路在Feign占位符解析前没有完成对密文属性的替换，具体错配点通常集中在四个环节：

解密核心组件未正常初始化
Spring Cloud 的配置解密依赖EnvironmentEncryptor组件，该组件只有在依赖完整、配置匹配的前提下才会触发对所有带{cipher}前缀属性的批量解密。如果项目缺少spring-boot-starter-security依赖、或是使用高版本JDK未匹配对应的加密策略，解密组件会直接注册失败，所有密文属性会原样保留在Environment中，不管在哪引用拿到的都是密文。
加密密钥配置路径不匹配
Spring Cloud 读取解密密钥的固定配置路径是encrypt.key，很多人把密钥直接写成顶层配置项ENCRYPT_KEY: xxx，没有绑定到对应的配置路径上，会导致解密组件拿不到有效密钥，直接静默跳过解密流程。哪怕写在bootstrap.yml里，只要键名不对，解密逻辑就不会执行。
Feign的占位符解析时机错位
在@GetMapping的headers参数里硬编码${employee.password}的占位符时，SpringMvcContract会在Feign客户端Bean初始化阶段就完成占位符的解析。如果此时Environment的解密流程还没完成对密文属性的替换，就会把解析到的密文值固化到Feign方法的请求头定义里，哪怕后续Environment完成了解密，已经固化的请求头值也不会更新。
自定义配置源未纳入解密扫描范围
如果项目自定义了配置加载器、或是把加密属性放在了非默认扫描的配置源中，解密器不会自动对该部分属性做解密处理，也会出现密文原样输出的问题。

排查&修复步骤

先验证全局解密链路是否正常
在应用启动后，直接注入Environment对象，手动读取employee.password属性值：
```
@Autowired
private Environment environment;

// 应用启动完成后执行一次读取，验证解密结果
String pwd = environment.getProperty("employee.password");
```
- 如果读取到的还是带密文的原始值：优先排查解密组件状态
  - 确认依赖完整：引入spring-cloud-starter-bootstrap、spring-boot-starter-security，不要漏配加密解密的必要组件
  - 确认密钥配置路径正确：bootstrap.yml中密钥的正确写法是
```
encrypt:
  key: 你的ENCRYPT_KEY实际值
```
  - 高版本JDK（11+）确认没有因为加密策略限制导致解密被静默拦截
  - 确认配置层级正确：application.yml里的密文属性要和Feign引用的路径完全匹配，也就是要写在employee节点下，不要把password写成顶层属性
- 如果读取到的是解密后的明文：说明全局解密链路正常，问题出在Feign的请求头构建环节
调整Feign请求头的构建方式
不要在注解参数里硬编码占位符，改为通过自定义请求拦截器在实际发请求时动态从Environment取解密后的值，避免Bean初始化阶段提前固化密文：
```
public class EmployeeFeignConfiguration {
    @Bean
    public RequestInterceptor passwordHeaderRelay(Environment environment) {
        return requestTemplate -> {
            requestTemplate.header("password", environment.getProperty("employee.password"));
        };
    }
}
```
同时可以把@GetMapping注解里硬编码的password=${employee.password}的请求头配置删掉，完全由拦截器统一注入，避免占位符解析时机错位的问题。

内容的提问来源于stack exchange，提问作者ppb