Play框架中如何加密application.conf里的Keystore密码？

嘿，这个需求太合理了——明文存密钥库密码确实是个安全隐患。针对Play Framework里加密存储JKS密码的需求，我给你几个落地性强的方案：

Play本身提供了加密工具类，我们可以用它先加密密码，再通过自定义配置加载器在应用启动时解密：

1. 加密原始密码
   先写个简单的工具类，用Play的Crypto组件加密你的明文密码：

   import play.libs.crypto.Crypto;
   import javax.inject.Inject;
   
   public class PasswordEncryptor {
       private final Crypto crypto;
   
       @Inject
       public PasswordEncryptor(Crypto crypto) {
           this.crypto = crypto;
       }
   
       public String encryptPlainPassword(String plainText) {
           return crypto.encryptAES(plainText);
       }
   }
   

   运行这个类得到加密后的字符串，把它存在application.conf里，替换原来的明文密码：

   # 原来的明文配置（删掉）
   # play.server.https.keyStore.password="password"
   # 换成加密后的字段
   play.server.https.keyStore.password.encrypted="your_encrypted_password_string"
   

2. 自定义配置加载器解密
   创建一个实现ConfigLoader的类，用来读取加密后的密码并解密：

   import com.typesafe.config.Config;
   import com.typesafe.config.ConfigLoader;
   import play.libs.crypto.Crypto;
   import javax.inject.Inject;
   
   public class EncryptedKeystorePasswordLoader implements ConfigLoader<String> {
       private final Crypto crypto;
   
       @Inject
       public EncryptedKeystorePasswordLoader(Crypto crypto) {
           this.crypto = crypto;
       }
   
       @Override
       public String load(Config config, String path) {
           String encryptedPwd = config.getString(path + ".encrypted");
           return crypto.decryptAES(encryptedPwd);
       }
   }
   

3. 绑定配置加载器
   在应用启动时，用这个加载器获取解密后的密码，替换到HTTPS配置中。比如在自定义的ApplicationLoader里完成这个逻辑，确保服务器初始化前密码已经解密完成。

如果你的应用部署在云环境，推荐用专门的密钥管理服务（比如AWS KMS、HashiCorp Vault）存储加密后的密码，然后在启动时从服务中获取解密后的密码：

1. 把加密密码存到环境变量
   先通过密钥管理服务加密你的明文密码，把加密后的字符串设置为环境变量，比如ENCRYPTED_KEYSTORE_PWD。

2. 启动时解密并注入配置
   在应用初始化代码中读取环境变量，调用密钥管理服务的API解密，然后更新配置：

   import com.typesafe.config.Config;
   import com.typesafe.config.ConfigFactory;
   import play.Application;
   import play.Play;
   
   public class ConfigInitializer {
       public static void initConfig() {
           // 调用密钥管理服务API解密环境变量中的密码
           String encryptedPwd = System.getenv("ENCRYPTED_KEYSTORE_PWD");
           String decryptedPwd = yourKmsService.decrypt(encryptedPwd);
   
           // 更新配置
           Config originalConfig = ConfigFactory.load();
           Config updatedConfig = originalConfig.withValue(
               "play.server.https.keyStore.password",
               ConfigFactory.parseString("\"" + decryptedPwd + "\"").root()
           );
   
           // 用更新后的配置启动应用
           Application app = Play.application(updatedConfig);
           Play.start(app);
       }
   }
   

完全不依赖配置文件里的密码，自己实现密钥库加载逻辑：

import javax.net.ssl.KeyManagerFactory;
import java.io.FileInputStream;
import java.security.KeyStore;
import play.libs.crypto.Crypto;
import javax.inject.Inject;

public class CustomKeystoreLoader {
    private final Crypto crypto;

    @Inject
    public CustomKeystoreLoader(Crypto crypto) {
        this.crypto = crypto;
    }

    public KeyManagerFactory getKeyManagerFactory() throws Exception {
        String keystorePath = "certs/uwsca.jks";
        // 从安全存储（比如环境变量、密钥服务）获取加密后的密码
        String encryptedPwd = System.getenv("ENCRYPTED_KEYSTORE_PWD");
        String decryptedPwd = crypto.decryptAES(encryptedPwd);

        // 加载密钥库
        KeyStore keyStore = KeyStore.getInstance("JKS");
        try (FileInputStream fis = new FileInputStream(keystorePath)) {
            keyStore.load(fis, decryptedPwd.toCharArray());
        }

        // 初始化KeyManagerFactory
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(keyStore, decryptedPwd.toCharArray());
        return kmf;
    }
}

然后通过自定义ServerProvider把这个KeyManagerFactory注入到Play的HTTPS服务器配置中，这样就完全不需要在application.conf里写密码了。

关键注意事项 #

• 加密密钥的安全：用来加密密码的密钥（比如Play的play.crypto.secret）绝对不能存在代码仓库里，要存在环境变量或者密钥管理服务中。
• 避免硬编码：所有敏感信息都要通过环境变量、密钥服务获取，不要硬编码在代码或配置文件里。
• 最小权限原则：密钥库文件和加密密钥的访问权限要设置到最低，只给应用进程必要的读取权限。

内容的提问来源于stack exchange，提问作者priyam singh