目录一、解决项目敏感信息裸奔-dotenv-java环境隔离1.1 需求背景1.2 什么是.env文件1.3 Java如何操作.env文件 【dotenv-java】类库介绍二、微服务项目接入dotenv-java实现配置环境隔离2.1 需求2.2 案例实战步骤一引入依赖步骤二在项目根目录创建.env集中存储所有配置步骤三代码中加载并使用配置步骤四保护敏感信息解决 “信息泄露” 问题步骤五项目调整配置文件三、最佳实践让配置管理更可靠一、解决项目敏感信息裸奔-dotenv-java环境隔离1.1 需求背景在大家习惯的软件开发中“配置” 指程序运行时依赖的动态参数传统配置管理方式存在以下问题硬编码配置代码与配置紧耦合维护成本高问题表现直接在代码中写死配置如String dbUrl jdbc:mysql://localhost:3306/db。危害配置变更需修改代码重新编译部署违背 “开闭原则”多人协作时一人修改配置可能影响他人开发环境示例生产环境数据库地址变更时需找到所有硬编码的地方修改极易出错。敏感信息暴露配置文件被提交到版本库问题表现配置文件如application.properties中包含数据库密码、API 密钥等敏感信息不小心提交到 Git 等版本库可能导致信息泄露多人开发项目中连接本地数据库、大模型LLM的密钥等实现可以本地配置隔离不会外泄危害黑客可通过公开代码库获取敏感信息攻击系统合规风险如金融、医疗行业对敏感信息保护有严格要求1.2 什么是.env文件一种轻量级的配置文件格式通过 “键值对” 存储配置将配置与代码分离集中管理且易于跨环境、跨语言使用格式简单仅包含KEYVALUE键值对无复杂语法如.properties的转义、.yaml的缩进要求示例# .env 文件内容 DB_URLjdbc:mysql://localhost:3306/mydb DB_USERroot DB_PASS123456 # 这是数据库密码支持注释 APP_PORT8080不侵入代码作为独立文件存在与代码彻底分离配置变更无需修改代码。跨语言通用几乎所有主流语言Java、Python、Node.js、Go 等都有对应的.env加载库如 Java 的dotenv-java、Node.js 的dotenv适合多语言项目协作.env文件解决的核心问题解耦代码与配置配置不再写死在代码中通过独立文件管理符合 “关注点分离” 原则。保护敏感信息通过.gitignore排除.env文件防止敏感信息提交到版本库仅本地或服务器保存1.3 Java如何操作.env文件 【dotenv-java】类库介绍是 Java 生态中专门用于加载.env文件的库简化.env文件的读取过程让 Java 程序能轻松获取.env中的配置传统方式需通过FileReader逐行读取.env处理注释、空行、键值对拆分易出错dotenv-java自动完成这些工作。与系统环境变量兼容优先读取系统环境变量若存在若不存在则读取.env文件类型安全与默认值支持可指定配置的默认值如dotenv.get(APP_PORT, 8080)避免因配置缺失导致报错。默认加载当前工作目录的.env文件无需指定路径。支持指定.env文件路径如config/.env.dev适应不同项目结构。可检查必填配置是否存在如dotenv.required(DB_PASS)提前暴露配置缺失问题。二、微服务项目接入dotenv-java实现配置环境隔离2.1 需求项目整合dotenv-java把相关配置文件敏感信息分离到环境中每个人开发都可以本地独立配置项目读取的敏感信息2.2 案例实战步骤一引入依赖dependency groupIdio.github.cdimascio/groupId artifactIddotenv-java/artifactId version3.2.0/version /dependency步骤二在项目根目录创建.env集中存储所有配置# Nacos 配置 NACOS_SERVERxxx.xxx.xxx.xxx:8848 NACOS_USERnacos NACOS_PASSWORDnacos #RABBITMQ配置 RABBITMQ_SERVERxxx.xxx.xxx.xxx RABBITMQ_USERroot RABBITMQ_PASSWORDroot #Mysql数据库 MYSQL_SERVERxxx.xxx.xxx.xxx:3306 MYSQL_USERroot MYSQL_PASSWORDroot #Redis数据库 REDIS_SERVERxxx.xxx.xxx.xxx REDIS_PASSWORDroot #SMS配置 SMS_APP_CODExxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx #OSS配置 OSS_ACCESS_KEY_IDxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx OSS_ACCESS_KEY_SECRETxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx步骤三代码中加载并使用配置通过dotenv-java加载.env轻松获取配置无需硬编码在启动类中写如下编码public static void main(String[] args) { // 在 Spring Boot 项目启动前加载 .env 文件,将其内容设置为系统属性 Dotenv dotenv Dotenv.configure().ignoreIfMissing().load(); dotenv.entries().forEach(entry - System.setProperty(entry.getKey(), entry.getValue())); SpringApplication.run(DcloudAIApplication.class, args); }步骤四保护敏感信息解决 “信息泄露” 问题在.gitignore中添加.env及其变体防止提交到版本库# .gitignore.env.env.dev.env.prod.env.* # 忽略所有 .env 开头的文件步骤五项目调整配置文件# 开发环境 spring: # nacos配置需要改为服务器ip cloud: nacos: discovery: server-addr: ${NACOS_SERVER} username: ${NACOS_USER} password: ${NACOS_PASSWORD} rabbitmq: host: ${RABBITMQ_SERVER} port: 5672 virtual-host: /dev username: ${RABBITMQ_USER} password: ${RABBITMQ_PASSWORD} listener: simple: acknowledge-mode: manual # db datasource: driver-class-name: com.mysql.cj.jdbc.Driver url: jdbc:mysql://${MYSQL_SERVER}/account_db?useUnicodetruecharacterEncodingutf-8useSSLfalseserverTimezoneAsia/ShanghaiallowPublicKeyRetrievaltrue username: ${MYSQL_USER} password: ${MYSQL_PASSWORD} hikari: max-lifetime: 300000 # 5分钟单位毫秒 connection-timeout: 30000 validation-timeout: 5000 idle-timeout: 60000 minimum-idle: 5 maximum-pool-size: 20 pool-name: HikariCP hikari: max-lifetime: 60000 connection-test-query: SELECT 1 # MySQL 验证语句 # redis配置 data: redis: host: ${REDIS_SERVER} port: 6379 password: ${REDIS_PASSWORD} # 锁配置 防止不同环境争抢一把锁 lock: prefix-key: dev # 短信配置 sms: app-code: ${SMS_APP_CODE} sms-sign-id: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx template-id: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx mybatis-plus: mapper-locations: classpath:mapper/*.xml type-aliases-package: net.xdclass.model configuration: map-underscore-to-camel-case: true log-impl: org.apache.ibatis.logging.stdout.StdOutImpl knife4j: enable: false springdoc: group-configs: - group: default paths-to-match: /** packages-to-scan: net.xdclass.controller api-docs: enabled: true swagger-ui: enabled: true三、最佳实践让配置管理更可靠文件名规范用后缀区分环境如.env.dev、.env.test、.env.prod清晰明了。权限控制.env文件设置只读权限如chmod 600 .env仅当前用户可读取降低服务器上的泄露风险。避免镜像打包Docker 部署时通过卷挂载.env文件而非COPY到镜像防止敏感信息进入镜像。docker run -d \ --name ${CONTAINER_NAME} \ -p ${PORT}:${PORT} \ -e TZAsia/Shanghai \ -e JAVA_OPTS-Xms512m -Xmx1g -XX:UseG1GC -XX:MaxRAMPercentage50.0 -XX:ActiveProcessorCount2 \ -v /usr/local/software/log/ai-interview:/logs/ai-interview \ -v /config/.env:/app/.env \ # 将宿主机的 .env 挂载到容器内的 /app/.env --restart unless-stopped \ ${IMAGE_NAME}:${IMAGE_TAG} \ --spring.profiles.activeprod配置文档创建env.example文件不含敏感值作为配置模板提交到版本库# .env.example可提交到 Git DB_URLjdbc:mysql://[数据库地址]:3306/[数据库名] DB_USER[用户名] DB_PASS[密码] APP_PORT8080优先使用系统环境变量在 Docker 或云服务中通过环境变量如docker run -e DB_PASSxxx传递敏感配置dotenv-java会自动优先读取覆盖.env中的值。