乐趣区

关于java:Spring-Boot-保护敏感配置的-4-种方法让你的系统不再裸奔

jiezi

0、问题背景

用 Spring Boot 框架的小伙伴应该都晓得，Spring Boot 有个次要的 applicaiton 配置文件，那就会波及到敏感配置信息，比方各种中间件的连贯用户名明码信息、以及各种第三方的 KEY、密钥等。

这种敏感信息如果间接放在配置文件中必定是不平安的，甚至在很多行业及畛域（比方：领取畛域）都是不合规的，所以须要爱护 Spring Boot 中的敏感配置信息。

所以，你还在让你的 Spring Boot 零碎裸奔吗？如果是，那无妨看看本文中栈长分享的 4 种办法，让你的零碎不再裸奔！

1、配置核心（反对主动解密）

我感觉还得看大家的架构状况，如果应用了外置的第三方配置核心（反对主动解密的那种），就能够把所有的配置信息存储在配置核心，比方 Spring Cloud 生态中的配置核心，那么能够应用自带的加、解密机制爱护敏感信息：

spring:   
  datasource:     
    username: '{cipher}t1s293294187a31f35dea15e8bafaf7774532xxcc20d6d6dd0dfa5ae753d6836'

须要加密的内容以 {cipher} 结尾标识，并留神要应用单引号包起来，具体的细节能够参考《Spring Cloud 配置核心内容加密》这篇文章，Spring Boot 配置文件就只存储一些无关紧要的配置。

大家用的哪款配置核心呢？领取配置加解密吗？欢送分享！

如果没有用到配置核心呢 ？

比如说传统的 Spring Boot 的 MVC 我的项目，所有的代码、配置都简直在同一个我的项目中，Spring Boot 中的外围配置文件就是 application.yml（.properties）文件，那要怎么爱护敏感配置信息呢？持续往下看！

2、数据库机制

能够把所有配置信息存储到数据库，系统启动的时候全副加载进内存。存储的时候，敏感信息以对称加密算法进行加密存储，而后加载的时候主动解密到内存。

这是最传统的配置管理办法，其实你也能够了解为一个原始的、繁难的配置核心，只是性能不那么弱小而已，因为当初很多配置核心就是把配置放在数据库中进行存储，而后提供一系列的配置管理性能。

这里的数据库能够是关系数据库（MySQL、Oracle）、内存数据库（Redis、Zookeeper）等，这是广泛用的比拟多的中间件技术。

3、自定义加解密机制

这时候也要看应用的水平，如果只是简略的数据库连接池信息，那么能够思考应用现有零碎中的对称加密算法，再联合连接池数据源类实现自定义加解密机制，比方咱们能够模拟 Spring Cloud 加密机制：

先用零碎已有的对称加密算法对数据库连贯信息加密：

spring:   
  datasource:     
    username: '{cipher}t1s293294187a31f35dea15e8bafaf7774532xxcc20d6d6dd0dfa5ae753d6836'

排除 Spring Boot 零碎自带的数据源主动配置，而后自行组装数据源 Spring Bean。

判断获取的配置值是否以 {cipher} 这个标识结尾，如果是，则用零碎约定的对称加密算法进行解密，而后再设置数据源，比方：

// 示例代码
@Bean
public DataSource dataSource(){DataSource dataSource = new DruidDataSource();
    
    // 解密
    String username = this.getUsername();
    if (username.startWith('{cipher}')){username = Encrypt.decrypt(username, this.getKey()))
    } 
    dataSource.setUsername(username);
    
    ...
    
    return dataSource;
}

Spring Boot 根底就不介绍了，举荐下这个实战教程，教程和示例源码都曾经传了：https://github.com/javastacks…

这种应用简略，不必额定引入任何第三方包，如果大家也是应用的自定义数据源，或者这种手动加解密机制能够满足爱护其余敏感配置的需要，那么这种计划供大家参考。

下面介绍的自定义的加解密机制能够满足个别的需要，如果是 Spring Boot 主动配置的场景，比方数据源主动配置，Redis 主动配置，等等，这种在系统启动的时候就会默认主动配置，咱们人工解密干涉不到。

像这种状况，咱们就须要思考染指框架层了，在 Spring Boot 框架读取配置的时候进行拦挡解密，或者应用第三方的框架，用的比拟多是：Jasypt Spring Boot。

4、Jasypt Spring Boot

Jasypt Spring Boot 是一个专门为 Spring Boot 我的项目中的属性提供加密反对的框架，反对的版本为 Spring Boot 1.x ~ 2.x，栈长写文之时，当初曾经有 1.8K+ 的 Star 数了，还是挺受欢迎的。

开源地址：

https://github.com/ulisesbocc…

这个开源我的项目更新也挺及时的，最新更新的，已反对 Spring Boot 2.5.4！

这里栈长再收费分享你一份 Spring Boot 学习笔记，实践和实战都十分齐全，助你疾速搞定 Spring Boot。

4.1 Jasypt Spring Boot 实战

Jasypt Spring Boot 有 3 种集成办法：

1、 如果开启了 Spring Boot 的主动配置 （应用了 @SpringBootApplication 或者 @EnableAutoConfiguration 注解）：只须要增加 jasypt-spring-boot-starter 依赖即可，这种会在整个 Spring Environment 中启用可加密属性；

2、增加 jasypt-spring-boot 依赖，同时在 Spring 次要配置类上增加 @EnableEncryptableProperties 注解，这种会在整个 Spring Environment 中启用可加密属性；

3、增加 jasypt-spring-boot 依赖，应用 @EncrytablePropertySource 注解申明各个可加密的参数上，这种只实用于独立配置参数加解密；

个别的 Spring Boot 都会开启主动配置，而后再排除个别的主动配置，所以很少会有全副禁用主动配置的状况，不然应用 Spring Boot 的意义不大，这里咱们应用第 1 种集成形式进行演示。

4.1.1 引入依赖

外围依赖：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.4</version>
</dependency>

Maven 插件（可选）

<build>
    <plugins>
        <plugin>
            <groupId>com.github.ulisesbocchio</groupId>
            <artifactId>jasypt-maven-plugin</artifactId>
            <version>${jasypt-spring-boot.version}</version>
        </plugin>
    </plugins>
</build>

4.1.2 增加密钥 

jasypt:
  encryptor:
    password: G9w0BAQEFAASCBKYwggSiAgEAAoIBAQC
    property:
      prefix: "ENC@["
      suffix: "]"

这个 jasypt.encryptor.password 参数是必须的，相当于 Salt（盐），以保障明码安全性，prefix 和 prefix 是自定义的明码串标识，不配置默认为：ENC(...)。

4.1.3 敏感信息加密 

/**
 * 起源微信公众号：Java 技术栈
 * 作者：栈长
 */
@Slf4j
@RunWith(SpringRunner.class)
@SpringBootTest
public class JasyptTest {

    @Autowired
    private StringEncryptor stringEncryptor;

    /**
     * 起源微信公众号：Java 技术栈
     * 作者：栈长
     */
    @Test
    public void encrypt() {String usernameEnc = stringEncryptor.encrypt("javastack");
        String passwordEnc = stringEncryptor.encrypt("javastack.cn");

        log.info("test username encrypt is {}", usernameEnc);
        log.info("test password encrypt is {}", passwordEnc);

        log.info("test username is {}", stringEncryptor.decrypt(usernameEnc));
        log.info("test password is {}", stringEncryptor.decrypt(passwordEnc));
    }
}

这里我注入了一个 StringEncryptor，其类结构图如下：

如果以后没有自定义 StringEncryptor，Jasypt Spring Boot 的主动配置会默认创立一个 StringEncryptor 实例，间接用就行了，其结构器默认值如下：

Key Required Default Value
jasypt.encryptor.password True –
jasypt.encryptor.algorithm False PBEWITHHMACSHA512ANDAES_256
jasypt.encryptor.key-obtention-iterations False 1000
jasypt.encryptor.pool-size False 1
jasypt.encryptor.provider-name False SunJCE
jasypt.encryptor.provider-class-name False null
jasypt.encryptor.salt-generator-classname False org.jasypt.salt.RandomSaltGenerator
jasypt.encryptor.iv-generator-classname False org.jasypt.iv.RandomIvGenerator
jasypt.encryptor.string-output-type False base64
jasypt.encryptor.proxy-property-sources False false
jasypt.encryptor.skip-property-sources False empty list

而后运行测试用例来看下测试后果：

加解密胜利！！

另外，通过 DEBUG 调试能够看到是一个 DefaultLazyEncryptor 实例：

当然也反对自定义的 Encryptor，有须要的能够自行定制。

如果不想用测试这种办法生成密文，也能够应用 Maven 插件，这就是后面为什么要加 Maven 插件（可选）的起因，应用形式如下：

mvn jasypt:encrypt-value -Djasypt.encryptor.password=”G9w0BAQEFAASCBKYwggSiAgEAAoIBAQC” -Djasypt.plugin.value=”javastack”

4.1.4 敏感信息解密

将上一步生成的密文填充到 application 配置文件中：

javastack:
  username: ENC@[K4DsOasic/5Cvu2Y6Ca5dyaw2+eejgqRfhDWB0itMWRONrIN+wLy3xkGbSfYxQ1b]
  password: ENC@[UeZWoPt3ZhSs2wPUAKTF21dgnhzimB+FNNiQjpJoPEhwYzI5WH3IWboZ5Wn+5Rgf]

留神 ENC@[] 这个占位符是下面进行自定义配置的。

而后再写一个程序尝试打印进去：

/** * 起源微信公众号：Java 技术栈 * 作者：栈长 */@Slf4j@SpringBootApplicationpublic class Application {@Value("${javastack.username}")    private String username;    @Value("${javastack.password}")    private String password;    /**     * 起源微信公众号：Java 技术栈     * 作者：栈长     */    public static void main(String[] args) {SpringApplication.run(Application.class);    }    /**     * 起源微信公众号：Java 技术栈     * 作者：栈长     */    @Bean    public CommandLineRunner commandLineRunner() {        return (args) -> {log.info("javastack.username = {}", username);            log.info("javastack.password = {}", password);        };    }}

栈长写了一个 CommandLineRunner，在系统启动之后将密文的原文打印进去，不须要做任何解决，间接注入、打印就行，看是不是明文。

系统启动之后：

后果失常，主动解密胜利。

本节教程所有实战源码已上传到这个仓库：

https://github.com/javastacks…

大家能够一键 Star，继续更新～

4.2 密钥安全性

咱们把 Jasypt 密钥（password）寄存在 application 配置文件中，这样敏感信息还是在我的项目代码中，也不是太平安，倡议通过命令行参数的形式传入，如在 IDEA 中这样设置：

如果是生产环境，能够通过命令的形式传入：

java -Djasypt.encryptor.password=password -jar xx.jar

甚至还能够配置在服务器环境变量中，因为 StringEncryptor 能够通过 零碎参数、配置文件、命令行参数、环境变量 等等形式进行结构。

这样 Spring Boot 中的配置信息就彻底平安了！

Jasypt Spring Boot 性能远不止如此，理论性能要更弱小，这里栈长只是介绍了简略的使用，更多的自定义的需要大家能够参考官网文档，那里有更具体的教程。

4.3 Jasypt Spring Boot 原理

Jasypt Spring Boot 它注册了一个 Spring 后处理器，它润饰蕴含在 Spring Environment 中的所有 PropertySource 对象，并依照 Jasypt 的配置约定对属性进行加解密。

来跟一波源码：

源码有点简单，一路找到了 DefaultPropertyResolver 这个解密器，而后它也是注入了 StringEncryptor 这个实例，获取配置时，会进行解密后再返回。

另外，这个 Resolver 也是反对自定义的，有趣味的能够深入研究下。

总结

好了，明天栈长介绍了 Spring Boot 爱护敏感配置信息的 4 种办法，总结一下：

  • 配置核心（反对主动加解密）
  • 自定义加解密机制
  • 数据库机制
  • Jasypt Spring Boot（第三方加解密计划）

总之敏感信息不要放在 Spring Boot 配置文件中，肯定要放，就肯定要加密，这 4 种计划各有各的利用场景，要联合公司现有的架构和零碎规模作出衡量，另外之前写的这篇《分布式系统中解决参数配置的 4 种计划》也供大家参考下。

本节教程所有实战源码已上传到这个仓库：

https://github.com/javastacks…

欢送 Star 关注学习，后续会继续更新 Spring Boot 实战教程。

好了，明天的分享就到这里了，前面栈长会分享更多好玩的 Java 技术和最新的技术资讯，关注公众号 Java 技术栈第一工夫推送，我也将支流 Java 面试题和参考答案都整顿好了，在公众号后盾回复关键字 “ 面试 ” 进行刷题。

版权申明： 本文系公众号 “Java 技术栈 ” 原创，转载、援用本文内容请注明出处，剽窃、洗稿一律投诉侵权，后果自负，并保留追究其法律责任的权力。

近期热文举荐：

1.1,000+ 道 Java 面试题及答案整顿 (2022 最新版)

2. 劲爆！Java 协程要来了。。。

3.Spring Boot 2.x 教程，太全了！

4. 别再写满屏的爆爆爆炸类了，试试装璜器模式，这才是优雅的形式！！

5.《Java 开发手册（嵩山版）》最新公布，速速下载！

感觉不错，别忘了顺手点赞 + 转发哦！

退出移动版