最近遇到一些開發(fā)者朋友，準備將原有的Java Spring的應用配置遷移到 阿里云應用配置管理 ACM 中。遷移過程中，遇到不少有趣的問題。本文將通過一個簡單的樣例來還原遷移過程中遇到的問題和相關(guān)解決思路，以期達到和讀者交流的目的。

什么樣的配置適合進入配置中心

這是所有準備遷移配置到配置中心的用戶遇到的第一個問題。我們將從時效性和安全這兩個維度進行分析。

時效性：靜態(tài) VS 動態(tài)

靜態(tài)配置是指程序版本一旦發(fā)布，基本上不會修改的配置內(nèi)容，例如：

• 軟件版本號：顯然版本號一經(jīng)確定，產(chǎn)品基本上不需要改。

• 日志樣式：日志的layout，如時間戳，文件名，日志級別等排版，基本上也不需要大改。

• 三方軟件LicenseKey：基本上也是一經(jīng)發(fā)布，很少變化。不排除中途三方軟件License升級，但是這種升級一般都可以根據(jù)軟件重新發(fā)版來解決配置變更。

• PaaS平臺連接串：如數(shù)據(jù)庫連接串，中間包含數(shù)據(jù)庫，用戶名和密碼等。除非因為合規(guī)原因修改密碼，或者數(shù)據(jù)發(fā)生遷移等，否則也是很少變化。

動態(tài)配置是指程序運行時的一些配置變化，通常會影響到程序的一些運行行為，例如：

• 限流降級參數(shù)：限流降級參數(shù)一般都不太固定。系統(tǒng)一般在運行時最好是需要根據(jù)實際workload pattern來動態(tài)調(diào)節(jié)限流參數(shù)如閾值RT，峰值TPS，等。

• 監(jiān)控報警閾值：如交易環(huán)比下跌20%產(chǎn)生error報警，下跌50%產(chǎn)生critical報警。 對于監(jiān)控系統(tǒng)來講，線上業(yè)務特征由于變化比較頻繁，因此一般也不將報警的閾值寫死，

• 日志打印級別：線上一旦出現(xiàn)詭異的行為，希望吧日志打印級別從error比如調(diào)高到debug，一般都比較希望能動態(tài)的去調(diào)整，而不需要重啟應用。

• 容災多活：一旦站點反生災難，一定是希望切換是越快越好。因此配置必須動態(tài)秒級生效，盡可能降低資損。

從時效性的維度來講，一般建議用戶把靜態(tài)配置存放到自己文件中，盡可能保持簡單，但是需要把動態(tài)配置放到配置中心里，以加強靈活性和應用動態(tài)變更的實效性。

安全：非敏感 VS 敏感

非敏感配置一般指偏向技術(shù)類，暴露后不會導致配置上的安全隱患，例如：

• 軟件版本號：跟產(chǎn)品迭代相關(guān)，無業(yè)務屬性，非敏感配置。

• 日志樣式：一般跟程序事后診斷相關(guān)，非敏感配置。

• 日志打印級別：影響日志打印的多或少，非敏感配置。

• 限流降級參數(shù)：限流降級主要為維持內(nèi)部應用穩(wěn)定，非敏感配置。

• 監(jiān)控報警閾值：主要是影響業(yè)務的報警精度，非敏感配置。

• 容災多活：一般和數(shù)據(jù)主備配置和業(yè)務分片相關(guān)，非敏感配置。

敏感配置通常和業(yè)務數(shù)據(jù)相關(guān)，一旦泄露將引起安全隱患，例如：

• 三方軟件LicenseKey：一旦泄露容易發(fā)生LicenseKey被盜用，為敏感配置。

• PaaS平臺連接串：典型如數(shù)據(jù)庫連接串，一旦泄露，無論內(nèi)部或外部用戶，都可以很容易地登到業(yè)務數(shù)據(jù)庫接觸到業(yè)務敏感信息，為敏感配置。

從安全的維度來看，我們通常建議用戶把非敏感配置存放到自己的文件中，盡可能保持簡單，但是需要把敏感配置放到配置中心里，并加密且做好鑒權(quán)，盡量不要讓無關(guān)人員接觸到。

時效性和安全分析總結(jié)

基于 Spring 框架的Java應用配置如何遷移

使用Spring框架的Java開發(fā)者一般經(jīng)常用到的一種配置注解姿勢是利用Spring的@value注解。

原始的純靜態(tài)文件場景

例如這個配置，包含兩個配置參數(shù)，一個是軟件的版本號，一個是數(shù)據(jù)庫連接串：

通過@PropertySource和@value的注解來自動注入配置。

@Configuration@ComponentScan("com.alibaba")@PropertySource("classpath:myApp.properties")??public?class?AppConfig?{??@Value(value="${url}")??private?String?URL;??@Value(value="${dbuser}")??private?String?USER;??@Value(value="${driver}")??private?String?DRIVER;??@Value(value="${dbpassword}")??private?String?PASSWORD;??@Value(value="${appVersion}")??private?String?version;
}

以上代碼省略了相關(guān)數(shù)據(jù)庫連接初始化等操作。

開始配置遷移，進入混合配置場景

目前由于安全合規(guī)或配置時效等原因，要開始遷移配置到ACM上。經(jīng)過分析，我們發(fā)現(xiàn)部分數(shù)據(jù)庫的配置最好遷移到ACM，以紅色字體標注。紅色部分將全部被遷移到ACM中。

接下來主要三個改動，先歸納下。

• 在ACM控制臺種增加相關(guān)配置的記錄。

• Java工程包中增加 ACM SDK 相關(guān)依賴。

• 少許修改代碼，增加在ACM中取配置的注解代碼。

第一步，直接到ACM中創(chuàng)建配置項，名字為myapp.dbconfig.properties，并把配置內(nèi)容編輯在對應編輯框中。詳細操作指南請參見 ACM 快速入門文檔，操作截圖如下。

第二步，在maven的pom.xml中增加依賴，如下。

???
???
????com.alibaba.nacos?
????nacos-spring-context?
????0.2.1-?RC1?
??

第三步，在對應AppConfig.java代碼中植入API注解，通過ACM去獲取動態(tài)配置。代碼增加部分如紅色字體部分。

??@Configuration?@ComponentScan("com.journaldev")?
??@PropertySource("classpath:myApp.properties")?
??@EnableNacosConfig(globalProperties?=?
??@NacosProperties(endpoint?=?"acm.aliyun.com",?namespace?=?"xxx",?accessKey?=?"xxx",?secretKey?=?"xxx"))?
??@NacosPropertySource(dataId?=?"myApp.dbconfig.properties",?autoRefreshed?=?true)?public?class?AppConfig?{?
??@Value(value="${url}")?private?String?URL;?
??@Value(value="${dbuser}")?private?String?USER;?
??@Value(value="${driver}")?private?String?DRIVER;?
??@Value(value="${dbpassword}")?private?String?PASSWORD;?

??@Value(value="${appVersion}")?
??private?String?version;?public?String?getVersion()?{?
??????return?version;?
??}
}

至此，改動結(jié)束。通過ACM SDK支持Spring的@value注解能力，代碼幾乎0改動。

幾點注意事項

在以上代碼實例中，有幾樣事情需要注意：

• 代碼中使用的ACM SDK為Nacos SDK。Nacos (http://nacos.io)?為ACM的開源實現(xiàn)，ACM無縫兼容所有Nacos的接口。

• 在代碼示例中，使用了明文注解來寫死ACM的endpoint, namespace, AK, SK, 等等。在實際操作種，相關(guān)變量其實不用寫死。

  • endpoint namespace等可以通過ACM的相關(guān)文件配置或系統(tǒng)變量來解決。詳情參見：https://help.aliyun.com/document_detail/60138.html

  • AK, SK等敏感信息可以通過ECS Ram Role功能來讓系統(tǒng)自行判斷，代碼不用寫死。詳情參見：https://help.aliyun.com/document_detail/72013.html

• 代碼中未包含動態(tài)配置監(jiān)聽的回調(diào)部分?；赟pring的動態(tài)配置相關(guān)使用方法請參見：https://github.com/nacos-group/nacos-spring-project