Docker 部署 SpringBoot 应用 JWT 密钥如何安全管理？

Docker 部署 SpringBoot 应用时，JWT 密钥不应硬编码在代码或镜像中，最推荐通过环境变量或 Docker Secrets 注入，生产环境建议对接 Vault 等外部密钥管理服务。

先说结论：JWT 密钥属于敏感配置，必须与代码仓库和镜像层隔离，优先使用运行时注入方式管理。

命令速用版

以下命令演示如何通过环境变量启动容器，避免密钥写入镜像。

docker run -d -e JWT_SECRET="your_secure_random_string" `--name` my-app my-springboot-image

docker-compose.yml 配置片段：

services:
  app:
    image: my-springboot-image
    environment:
      - JWT_SECRET=${JWT_SECRET}

硬编码密钥会导致密钥随代码或镜像泄露，攻击者反编译 JAR 或拉取镜像即可获取密钥。

SpringBoot 支持外部化配置，Docker 支持运行时注入，分离配置与代码能降低泄露风险。

第一步：生成高强度密钥。

使用 OpenSSL 或系统随机数生成器生成高强度随机字符串，避免使用弱口令。

第二步：配置 SpringBoot 读取环境变量。

在 application.yml 中引用环境变量，例如 jwt.secret: ${JWT_SECRET}。

第三步：启动时注入密钥。

使用 docker run -e 或 docker-compose environment 字段注入，不要写在 Dockerfile 中。

第四步：限制密钥访问权限。

生产环境使用 Docker Secrets 或外部密钥管理系统，限制只有应用进程可读取。

检查 SpringBoot 启动日志，确认配置加载成功且无报错。

使用 docker exec -it my-app env 查看环境变量，确认密钥存在。

注意：普通环境变量在 docker inspect 中可见，高安全场景需使用 Docker Secrets 挂载文件。

1. .env 文件提交至 Git 仓库，导致密钥泄露。

2. 密钥长度不足，容易被暴力破解。

3. 使用 Docker ENV 指令在镜像层写入密钥，历史层仍可查看。

建议定期轮换，但需处理旧令牌失效问题，通常配合版本号或多密钥策略实现。

K8s 环境建议使用 Secret 资源对象挂载为环境变量或文件，配合 RBAC 控制访问。

高安全场景使用 Docker Secrets 挂载文件，应用读取文件内容而非环境变量。

Spring Boot Documentation: Externalized Configuration - https://docs.spring.io/spring-boot/docs/current/reference/html/features.html#features.external-config
Docker Documentation: Security - https://docs.docker.com/engine/security/