Java 我应该将凭据放在哪里：application.properties vs system env variables

在我的spring boot项目中，我应该将使用不同服务的凭据放在哪里，例如数据库或消息队列的用户名/密码，或者JWT密钥

我应该把它放在系统环境变量中吗？还是在application.properties中？哪个更安全？考虑到两者都是纯文本

对于JWT令牌，我在操作系统中使用以下命令在启动服务器之前更新值：

export MONEYLIZER_JWT_SECRET_KEY=$(echo -n "somevalue" | openssl sha512 -hmac "somekey")

所以它并不总是常数

application.properties

没有给我这种灵活性

---

商业服务通常做什么？我应该将凭据和设置保存在哪里

在application.properties中，环境变量肯定比纯文本更安全

典型的基于Sping的部署会遇到配置困难的问题 编码到代码存储库的应用程序属性文件中。 这对于模块化您的代码库非常有用，这样就可以进行传输 适用于多种环境。但是，它确保您的代码也具有清晰的 文本密码、api密钥和其他不应在VCS中的数据 回购或以任何方式分配

为了锁定代码库本身的安全性，我们决定 将所有密码、api密钥和其他机密数据外部化 从我们的代码库。Spring使这项工作变得非常容易， 提供将配置指定为环境的选项 启动时的变量或将外部应用程序属性文件指定给 初始化脚本或CLI调用

---

在application.properties中，环境变量肯定比纯文本更安全

典型的基于Sping的部署会遇到配置困难的问题 编码到代码存储库的应用程序属性文件中。 这对于模块化您的代码库非常有用，这样就可以进行传输 适用于多种环境。但是，它确保您的代码也具有清晰的 文本密码、api密钥和其他不应在VCS中的数据 回购或以任何方式分配

为了锁定代码库本身的安全性，我们决定 将所有密码、api密钥和其他机密数据外部化 从我们的代码库。Spring使这项工作变得非常容易， 提供将配置指定为环境的选项 启动时的变量或将外部应用程序属性文件指定给 初始化脚本或CLI调用

---

如果您不使用类似spring vault的云vault，则输入环境变量更安全。如果您不使用类似spring vault的云vault，则输入环境变量更安全。哦，太好了。因此，可以使用外部属性文件而不是项目中的属性文件。外部、内部、API调用结果-look lOh nice。因此，可以使用外部属性文件而不是项目中的属性文件