Dynamic-DataSource配置文件加密终极指南：按环境密钥的安全配置方案-编程阁

Dynamic-DataSource配置文件加密终极指南：按环境密钥的安全配置方案

【免费下载链接】dynamic-datasourcedynamic datasource for springboot 多数据源动态数据源主从分离读写分离分布式事务项目地址: https://gitcode.com/gh_mirrors/dy/dynamic-datasource

在现代应用开发中，多数据源配置是常见需求，但数据库凭证的安全管理始终是开发人员面临的挑战。Dynamic-DataSource作为Spring Boot生态中强大的动态数据源解决方案，提供了完整的配置加密机制，帮助开发者在不同环境中安全管理数据库密钥。本文将详细介绍如何利用Dynamic-DataSource实现按环境密钥的安全配置方案，确保敏感信息在开发、测试和生产环境中得到妥善保护。

为什么需要配置文件加密？

数据库连接信息（URL、用户名、密码）是应用系统的核心敏感信息。传统明文配置方式存在严重安全隐患：

代码仓库泄露导致凭证暴露
开发/测试环境凭证与生产环境混用
运维人员可直接接触生产环境密钥

Dynamic-DataSource通过加密配置文件和按环境隔离密钥的方式，从根本上解决了这些问题。其核心实现位于dynamic-datasource-spring/src/main/java/com/baomidou/dynamic/datasource/event/EncDataSourceInitEvent.java，通过事件驱动机制在数据源创建前自动解密配置信息。

加密原理与核心组件

Dynamic-DataSource的加密功能基于RSA非对称加密算法实现，主要涉及以下核心组件：

1. 加密事件处理器

EncDataSourceInitEvent是默认的解密事件处理器，实现了DataSourceInitEvent接口。其核心逻辑是在数据源创建前（beforeCreate方法）对加密的配置项进行解密：

@Override public void beforeCreate(DataSourceProperty dataSourceProperty) { String publicKey = dataSourceProperty.getPublicKey(); if (DsStrUtils.hasText(publicKey)) { dataSourceProperty.setUrl(decrypt(publicKey, dataSourceProperty.getUrl())); dataSourceProperty.setUsername(decrypt(publicKey, dataSourceProperty.getUsername())); dataSourceProperty.setPassword(decrypt(publicKey, dataSourceProperty.getPassword())); } }

2. 加密配置识别与解密

系统通过正则表达式^ENC\$(.*)\$$识别加密内容，例如ENC(加密字符串)格式的配置值会被自动解密：

private static final Pattern ENC_PATTERN = Pattern.compile("^ENC\\((.*)\\)$"); private String decrypt(String publicKey, String cipherText) { if (DsStrUtils.hasText(cipherText)) { Matcher matcher = ENC_PATTERN.matcher(cipherText); if (matcher.find()) { try { return CryptoUtils.decrypt(publicKey, matcher.group(1)); } catch (Exception e) { log.error("DynamicDataSourceProperties.decrypt error ", e); } } } return cipherText; }

3. 加密工具类

CryptoUtils提供了完整的RSA加解密实现，支持：

密钥对生成
分段加密/解密（处理长文本）
公钥加密/私钥解密
兼容不同JDK环境的加密实现

按环境密钥配置的实现步骤

1. 生成环境专用密钥对

首先为不同环境（开发、测试、生产）生成独立的密钥对。可以使用CryptoUtils的generateKeyPair方法生成：

// 生成2048位密钥对 String[] keyPair = CryptoUtils.generateKeyPair(2048); String publicKey = keyPair[0]; // 公钥（用于加密配置） String privateKey = keyPair[1]; // 私钥（用于解密，需安全存储）

2. 加密敏感配置项

使用环境对应的公钥加密数据库密码等敏感信息：

String encryptedPassword = CryptoUtils.encrypt(publicKey, "real_password");

加密后的配置在application.yml中应按ENC()格式存储：

spring: datasource: dynamic: datasource: master: url: ENC(加密的URL) username: ENC(加密的用户名) password: ENC(加密的密码) public-key: 环境公钥

3. 配置环境密钥

通过环境变量或启动参数注入私钥，避免硬编码密钥：

# 生产环境启动示例 java -jar app.jar --spring.datasource.dynamic.public-key=生产环境公钥

或通过环境变量配置：

export SPRING_DATASOURCE_DYNAMIC_PUBLIC_KEY=生产环境公钥

4. 自定义解密事件（可选）

如果默认解密逻辑无法满足需求，可以实现自定义DataSourceInitEvent：

@Component public class CustomEncDataSourceInitEvent implements DataSourceInitEvent { @Override public void beforeCreate(DataSourceProperty dataSourceProperty) { // 自定义解密逻辑 } @Override public void afterCreate(DataSource dataSource) { // 数据源创建后处理 } }