Jasypt安全性达标吗？Spring项目中如何保障加密配置文件安全？

问题描述 #

我在Spring项目中使用Jasypt加密数据库配置项，按照文档配置了如下的应用上下文bean：

<bean id="environmentVariablesConfiguration" class="org.jasypt.encryption.pbe.config.EnvironmentStringPBEConfig">
<property name="algorithm" value="PBEWithMD5AndDES" />
<property name="passwordEnvName" value="secret" />
</bean>
<bean id="configurationEncryptor" class="org.jasypt.encryption.pbe.StandardPBEStringEncryptor">
<property name="config" ref="environmentVariablesConfiguration" />
</bean>
<bean id="propertyConfigurer" class="org.jasypt.spring.properties.EncryptablePropertyPlaceholderConfigurer">
<constructor-arg ref="configurationEncryptor" />
<property name="location" value="classpath*:*.properties" />
</bean>

但发现任何人只要用Jasypt提供的解密工具就能轻易解密配置项，比如执行命令：

sh decrypt.sh input=pYmd0m1m2nEAGIeTtfdfdfdl/e3W49e password=sdsdfsf algorithm=PBEWithMD5AndDES

请问该如何提升配置文件的安全性？

回答 #

这个问题确实是Jasypt入门时很容易踩的坑——默认的基础配置安全性太低，很容易被逆向破解。我分享几个生产环境中经过验证的加固方案：

• 替换为强加密算法
  你当前使用的PBEWithMD5AndDES是非常老旧的算法，早已被证明不安全，建议换成PBEWithHMACSHA512AndAES_256这类高强度算法。注意：JDK 8u151及以后版本默认开启了无限强度加密，无需额外配置；如果是更早的版本，需要安装JCE无限强度管辖策略文件。
  优化后的配置示例：

  <bean id="environmentVariablesConfiguration" class="org.jasypt.encryption.pbe.config.EnvironmentStringPBEConfig">
      <property name="algorithm" value="PBEWithHMACSHA512AndAES_256" />
      <property name="passwordEnvName" value="APP_ENCRYPTION_KEY" />
      <property name="keyObtentionIterations" value="100000" /> <!-- 提升迭代次数，大幅增加暴力破解成本 -->
      <property name="saltGeneratorClassName" value="org.jasypt.salt.RandomSaltGenerator" /> <!-- 使用随机盐，避免彩虹表攻击 -->
      <property name="stringOutputType" value="base64" />
  </bean>
  

• 严格管控密钥的存储与获取
  用环境变量存密钥是个不错的起点，但要避免密钥泄露：

  • 本地开发时，不要把密钥写入Git仓库的任何文件，改用.env文件（加入.gitignore）或IDE的运行配置单独设置
  • 生产环境中，不要直接将密钥暴露为环境变量（比如K8s的Pod env会被可见），改用专门的密钥管理服务（如HashiCorp Vault、AWS KMS），可以自定义Jasypt的Config实现，让应用启动时从密钥服务拉取密钥，全程不在本地存储
  • 确保日志、监控系统不会记录密钥相关的信息

• 提升加密器的破解门槛

  • 增加keyObtentionIterations（密钥获取迭代次数）：设置为10万以上，暴力破解的时间成本会指数级上升
  • 启用随机盐：每个加密项使用独立的随机盐，即使明文相同，密文也会不同，彻底杜绝彩虹表攻击的可能
  • 避免使用默认的加密前缀/后缀（如果用Spring Boot Starter的话），可以自定义标识，降低密文被识别的概率

• 限制解密工具与配置的访问权限

  • 生产服务器上不要部署Jasypt的解密脚本或工具
  • 严格配置文件权限：只有运维/部署人员能读取配置文件，应用的运行用户（如tomcat）仅拥有必要的读取权限，禁止复制、修改操作
  • 应用内部不要输出任何密文或解密过程的日志，确保解密仅在Spring容器内部完成

• 如果是Spring Boot项目，使用官方Starter
  推荐使用com.github.ulisesbocchio:jasypt-spring-boot-starter，它提供了更安全的默认配置，支持多种密钥注入方式（系统属性、命令行参数、密钥服务等），还能自定义加密标识（默认ENC(...)），大幅简化配置的同时提升安全性。

最后要提醒的是：没有绝对的安全，这些措施的核心是提升攻击者的破解成本，让攻击变得不划算，结合最小权限原则，就能有效保障配置的安全性。

内容的提问来源于stack exchange，提问作者Alex