SpringBoot安全实践：配置文件密码加密与解密
共 6994字，需浏览 14分钟
·
2024-05-28 12:20
示例展示
spring:
# 数据库链接配置
datasource:
url: jdbc:mysql://xx.xx.xx.xx:3306/database
driver-class-name: com.mysql.cj.jdbc.Driver
username: root
password: "123456"
spring.datasource.password对应的值为123456，这么敏感的信息直接放在配置文件中很不合适，我们要做的就是对应的值改成一个加密的密文，如下：
spring:
# 数据库链接配置
datasource:
url: jdbc:mysql://xx.xx.xx.xx:3306/database
driver-class-name: com.mysql.cj.jdbc.Driver
username: root
password: "AES(DzANBAhBWXxZqAOsagIBCoaw8FV4gYRbid7G70UEM24=)"
原理解析
我们为了实现这个功能，需要了解Spring的相关扩展点以及对应的数据加解密知识，我们先来看看我们应该通过Spring的哪个扩展点进行切入；
我们想要拦截配置数据的话，可以通过实现自定义的BeanFactoryPostProcessor来处理：
public class PropertySourcePostProcessor implements BeanFactoryPostProcessor {
private ConfigurableEnvironment environment;
public PropertySourcePostProcessor(ConfigurableEnvironment environment) {
this.environment = environment;
}
@Override
public void postProcessBeanFactory(ConfigurableListableBeanFactory beanFactory) throws BeansException {
// 从ConfigurableEnvironment中取出所有的配置数据
MutablePropertySources propertySources = this.environment.getPropertySources();
propertySources.stream()
// 过滤不需要包装的对象
.filter(s -> !noWrapPropertySource(s))
// 包装所有的PropertySource
.map(s -> new EncryPropertySource(s))
.collect(Collectors.toList())
// 替换掉propertySources中的PropertySource
.forEach(wrap -> propertySources.replace(wrap.getName(), wrap));
}
private boolean noWrapPropertySource(PropertySource propertySource) {
return propertySource instanceof EncryPropertySource || StringUtils.equalsAny(propertySource.getClass().getName(), "org.springframework.core.env.PropertySource$StubPropertySource", "org.springframework.boot.context.properties.source.ConfigurationPropertySourcesPropertySource");
}
}
❝1.通过
ConfigurableEnvironment取出所有的PropertySource并依次遍历；2.过滤掉不符合我们要求的
PropertySource，因为PropertySource有很多子类，并不是所有的PropertySource实例都符合我们包装的要求；3.对符合要求的
PropertySource做一层包装，其实就是静态代理；4.用包装好的
PropertySource替换掉之前的PropertySource实例；
通过上述一系列的操作，我们就可以在PropertySource取值的时候做一些自定义的操作了，比如针对密文密码进行解密；
剩下的另一个问题就是加解密的问题，密码学里面有对称加密和非对称加密，这两种加密方式的区别就是对称加密的加密解密都需要同一个密钥，而非对称加密加密的时候需要公钥，解密的时候需要私钥；
了解了对称加密与非对称加密的区别，如果我们使用的是对称加密，那么一定要避免密文和密钥放在同一个地方；非对称加密一定要避免密文和私钥放在同一个地方；
工具介绍
jar工具，它就是jasypt，我们可以去maven仓库找到相关的包：
<dependency>
<groupId>com.github.ulisesbocchio</groupId>
<artifactId>jasypt-spring-boot-starter</artifactId>
<version>3.0.5</version>
</dependency>
BeanFactoryPostProcessor对ConfigurableEnvironment中的PropertySource实例进行拦截包装，在包装类的实现上做一层解密操作，这样就实现了对密文密码的解密；
jasypt:
encryptor:
# 密钥
password: ""
property:
# 密文前缀
prefix: ""
# 密文后缀
suffix: ""
jasypt.encryptor.password是一定要配置的，这就是加解密的密钥，默认的加密算法是PBEWITHHMACSHA512ANDAES_256；另外jasypt.encryptor.property.prefix和jasypt.encryptor.property.suffix分别是密文前缀和密文后缀，是用来标注需要解密的密文的，如果不配置，默认的密文前缀是ENC(，密文后缀是)；默认情况下，我们的密文如下所示：
spring:
datasource:
password: "ENC(DzANBAhBWXxZqAOsagIBCoaw8FV4gYRbid7G70UEM24=)"
jasypt.encryptor.password不能与密文放在一起，我们可以在项目当中通过系统属性、命令行参数或环境变量传递；
实现自定义加解密
如果jasypt提供的加解密方式不能满足咱们的项目需求，我们还可以自己实现加解密：
@Bean("jasyptStringEncryptor")
public StringEncryptor jasyptStringEncryptor(){
return new StringEncryptor() {
@Override
public String encrypt(String s) {
// TODO 加密
return null;
}
@Override
public String decrypt(String s) {
// TODO 解密
return null;
}
};
}
BeanName，默认情况下一定要设置成jasyptStringEncryptor，否则不会生效，如果想要改变这个BeanName，也可以通过修改这个配置参数来自定义StringEncryptor实例所对应的BeanName：
jasypt:
encryptor:
# 自定义StringEncryptor的BeanName
bean: ""
如何生成密文
生成密文的这个操作还是要自个儿通过调用StringEncryptor实例来加密生成，可以参考以下代码：
@Component
public class StringEncryptorUtil{
@Autowired
private StringEncryptor encryptor;
public void encrypt(){
String result = encryptor.encrypt("123456");
System.out.println(result);
}
}
来源：juejin.cn/post/7208722414598258746
评论