Spring Vault 通过提供 BytesKeyGenerator 和 BytesEncryptor 的实现与 Spring Security 集成。这两种实现都使用 Vault 的后端。transit

例 1. 例VaultBytesKeyGenerator
VaultOperations operations = …;
VaultBytesKeyGenerator generator = new VaultBytesKeyGenerator(operations);

byte[] key = generator.generateKey();
例 2. 例VaultBytesEncryptor
VaultTransitOperations transit = …;

VaultBytesEncryptor encryptor = new VaultBytesEncryptor(transit, "my-key-name");

byte[] ciphertext = encryptor.encrypt(plaintext);

byte[] result = encryptor.decrypt(ciphertext);

Vault 封装了一个与 JVM 分离的熵源以及服务器端密钥管理。这减轻了应用程序开发人员正确加密/解密的负担，并将负担推给了 Vault 的运营商。保险柜的运营商通常包括组织中的安全团队，这意味着他们可以确保数据正确加密/解密。此外，由于加密/解密操作必须输入审核日志，因此会记录任何解密事件。

后端还支持密钥轮换，这允许生成命名密钥的新版本。所有使用密钥加密的数据都将使用最新版本的密钥;可以使用旧版本的密钥解密以前加密的数据。管理员可以控制哪些以前版本的密钥可用于解密，以防止攻击者获取密文的旧副本，从而能够成功解密它。

毕竟，Vault 是一种网络服务，每次操作都会产生延迟。大量使用加密或随机字节生成的组件可能会在吞吐量和性能方面遇到差异。