在 spring 打包 jar 包复制到 docker image 后别人可以查看我的 resource 下的配置文件吗？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

This topic created in 2556 days ago, the information mentioned may be changed or developed.

如题，原因是*.properties 中会存在一些敏感信息，如果打包到 docker 中如何保障这些文件的安全，我觉得因为打包成 jar 包了所以.dockerignore 应该是不起作用的。

jar

Docker

打包

properties

12 replies • 2019-04-29 11:10:02 +08:00

qinxi

Apr 28, 2019

用环境变量的形式设置敏感信息

mgcnrx11

Apr 28, 2019 via iPhone

完全可以，甚至都不用起一个容器

Luckyray

Apr 28, 2019

如果没理解错你的意思的话...
image 就是一个人人都能看到的 linux 系统，你放里面的东西自然也能看到。
如果你的配置文件是放到了 jar 包里面，那应该不用工具是打不开的，不过开 jar 包的工具太普遍了。所以你的配置文件基本等于是暴露的。

isCyan

Apr 28, 2019 via Android

环境变量
你需要一个读取环境变量的东西
可以直接写在代码里
也可以写个脚本，sed 修改配置文件

HuHui

Apr 28, 2019 via Android

能拿到你的文件就谈不上安全了

xavierniu

Apr 28, 2019

谢谢各位我这就去试一下

liuzuo

Apr 28, 2019 via Android

不应该用 config server+解密么

aa6563679

Apr 29, 2019 via iPhone

可以把配置文件放 Spring cloud config 上

xavierniu

Apr 29, 2019

@liuzuo @aa6563679 因为只是做毕业设计没必要做的那么复杂，所以没有用 spring cloud，只是用 spring boot + docker 加快部署过程

zpf124

Apr 29, 2019

只要又你的镜像或者容器就能读取到.

容器启动之后直接 exec 进入容器,然后看一下 endpoint 启动脚本知道配置存哪了直接就 echo 或者 cat 看到了.

mritd

Apr 29, 2019 via iPhone

还是没搞懂你的情况，如果你的 resources 怕被人看见，那么你不管部署到哪，只要打包到 jar 里就可以被拿到，环境变量更扯淡，所以唯一解决方案就是移除 resources 敏感信息，然后使用配置中心，远程加载，但不管怎样，你的配置始终是下发到客户端，那么不管怎样还是能拿到，只不过是难度大小问题

solaya

Apr 29, 2019

Apollo ?