共计 10639 个字符,预计需要花费 27 分钟才能阅读完成。
前言
在咱们日常开发中,咱们可能很随便把数据库明码间接明文裸露在配置文件中,在开发环境能够这么做,然而在生产环境,是相当不倡议这么做,毕竟平安无小事,谁也不晓得哪天明码就莫名其妙泄露了。明天就来聊聊在 springboot 我的项目中如何对数据库明码进行加密
注释
计划一、应用 druid 数据库连接池对数据库明码加密
1、pom.xml 引入 druid 包
为了不便其余的操作,这边间接引入 druid 的 starter
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>druid-spring-boot-starter</artifactId>
<version>${druid.version}</version>
</dependency>
2、利用 com.alibaba.druid.filter.config.ConfigTools 生成公私钥
ps: 生成的形式有两种,一种利用命令行生成,一种间接写个工具类生成。本文示例间接采纳工具类生成
工具类代码如下
/**
* alibaba druid 加解密规定:* 明文明码 + 私钥 (privateKey) 加密 = 加密明码
* 加密明码 + 公钥 (publicKey) 解密 = 明文明码
*/
public final class DruidEncryptorUtils {
private static String privateKey;
private static String publicKey;
static {
try {String[] keyPair = ConfigTools.genKeyPair(512);
privateKey = keyPair[0];
System.out.println(String.format("privateKey-->%s",privateKey));
publicKey = keyPair[1];
System.out.println(String.format("publicKey-->%s",publicKey));
} catch (NoSuchAlgorithmException e) {e.printStackTrace();
} catch (NoSuchProviderException e) {e.printStackTrace();
}
}
/**
* 明文加密
* @param plaintext
* @return
*/
@SneakyThrows
public static String encode(String plaintext){System.out.println("明文字符串:" + plaintext);
String ciphertext = ConfigTools.encrypt(privateKey,plaintext);
System.out.println("加密后字符串:" + ciphertext);
return ciphertext;
}
/**
* 解密
* @param ciphertext
* @return
*/
@SneakyThrows
public static String decode(String ciphertext){System.out.println("加密字符串:" + ciphertext);
String plaintext = ConfigTools.decrypt(publicKey,ciphertext);
System.out.println("解密后的字符串:" + plaintext);
return plaintext;
}
3、批改数据库的配置文件内容信息
a、 批改明码
把明码替换成用 DruidEncryptorUtils 这个工具类生成的明码
password: ${DATASOURCE_PWD:HB5FmUeAI1U81YJrT/T6awImFg1/Az5o8imy765WkVJouOubC2H80jqmZrr8L9zWKuzS/8aGzuQ4YySAkhywnA==}
b、 filter 开启 config
filter:
config:
enabled: true
c、配置 connectionProperties 属性
connection-properties: config.decrypt=true;config.decrypt.key=${spring.datasource.publickey}
ps: spring.datasource.publickey 为工具类生成的公钥
附录: 残缺数据库配置
spring:
datasource:
type: com.alibaba.druid.pool.DruidDataSource
driverClassName: com.mysql.cj.jdbc.Driver
url: ${DATASOURCE_URL:jdbc:mysql://localhost:3306/demo?useUnicode=true&characterEncoding=utf8&useSSL=false&serverTimezone=Asia/Shanghai}
username: ${DATASOURCE_USERNAME:root}
password: ${DATASOURCE_PWD:HB5FmUeAI1U81YJrT/T6awImFg1/Az5o8imy765WkVJouOubC2H80jqmZrr8L9zWKuzS/8aGzuQ4YySAkhywnA==}
publickey: MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAIvP9xF4RCM4oFiu47NZY15iqNOAB9K2Ml9fiTLa05CWaXK7uFwBImR7xltZM1frl6ahWAXJB6a/FSjtJkTZUJECAwEAAQ==
druid:
# 初始连接数
initialSize: 5
# 最小连接池数量
minIdle: 10
# 最大连接池数量
maxActive: 20
# 配置获取连贯期待超时的工夫
maxWait: 60000
# 配置距离多久才进行一次检测,检测须要敞开的闲暇连贯,单位是毫秒
timeBetweenEvictionRunsMillis: 60000
# 配置一个连贯在池中最小生存的工夫,单位是毫秒
minEvictableIdleTimeMillis: 300000
# 配置一个连贯在池中最大生存的工夫,单位是毫秒
maxEvictableIdleTimeMillis: 900000
# 配置检测连贯是否无效
validationQuery: SELECT 1 FROM DUAL
testWhileIdle: true
testOnBorrow: false
testOnReturn: false
webStatFilter:
enabled: true
statViewServlet:
enabled: true
# 设置白名单,不填则容许所有拜访
allow:
url-pattern: /druid/*
# 控制台治理用户名和明码
login-username:
login-password:
filter:
stat:
enabled: true
# 慢 SQL 记录
log-slow-sql: true
slow-sql-millis: 1000
merge-sql: true
wall:
config:
multi-statement-allow: true
config:
enabled: true
connection-properties: config.decrypt=true;config.decrypt.key=${spring.datasource.publickey}
计划二:应用 jasypt 对数据库明码加密
1、pom.xml 引入 jasypt 包
<dependency>
<groupId>com.github.ulisesbocchio</groupId>
<artifactId>jasypt-spring-boot-starter</artifactId>
<version>${jasypt.verison}</version>
</dependency>
2、利用 jasypt 提供的工具类对明文明码进行加密
加密工具类如下
public final class JasyptEncryptorUtils {
private static final String salt = "lybgeek";
private static BasicTextEncryptor basicTextEncryptor = new BasicTextEncryptor();
static {basicTextEncryptor.setPassword(salt);
}
private JasyptEncryptorUtils(){}
/**
* 明文加密
* @param plaintext
* @return
*/
public static String encode(String plaintext){System.out.println("明文字符串:" + plaintext);
String ciphertext = basicTextEncryptor.encrypt(plaintext);
System.out.println("加密后字符串:" + ciphertext);
return ciphertext;
}
/**
* 解密
* @param ciphertext
* @return
*/
public static String decode(String ciphertext){System.out.println("加密字符串:" + ciphertext);
ciphertext = "ENC(" + ciphertext + ")";
if (PropertyValueEncryptionUtils.isEncryptedValue(ciphertext)){String plaintext = PropertyValueEncryptionUtils.decrypt(ciphertext,basicTextEncryptor);
System.out.println("解密后的字符串:" + plaintext);
return plaintext;
}
System.out.println("解密失败");
return "";
}
}
3、批改数据库的配置文件内容信息
a、 用 ENC 包裹用 JasyptEncryptorUtils 生成的加密串
password: ${DATASOURCE_PWD:ENC(P8m43qmzqN4c07DCTPey4Q==)}
b、 配置密钥和指定加解密算法
jasypt:
encryptor:
password: lybgeek
algorithm: PBEWithMD5AndDES
iv-generator-classname: org.jasypt.iv.NoIvGenerator
因为我工具类应用的是加解密的工具类是 BasicTextEncryptor,其对应配置加解密就是 PBEWithMD5AndDES 和 org.jasypt.iv.NoIvGenerator
ps: 在生产环境中,倡议应用如下形式配置密钥,防止密钥泄露
java -jar -Djasypt.encryptor.password=lybgeek
附录: 残缺数据库配置
spring:
datasource:
type: com.alibaba.druid.pool.DruidDataSource
driverClassName: com.mysql.cj.jdbc.Driver
url: ${DATASOURCE_URL:ENC(kT/gwazwzaFNEp7OCbsgCQN7PHRohaTKJNdGVgLsW2cH67zqBVEq7mN0BTIXAeF4/Fvv4l7myLFx0y6ap4umod7C2VWgyRU5UQtKmdwzQN3hxVxktIkrFPn9DM6+YahM0xP+ppO9HaWqA2ral0ejBCvmor3WScJNHCAhI9kHjYc=)}
username: ${DATASOURCE_USERNAME:ENC(rEQLlqM5nphqnsuPj3MlJw==)}
password: ${DATASOURCE_PWD:ENC(P8m43qmzqN4c07DCTPey4Q==)}
druid:
# 初始连接数
initialSize: 5
# 最小连接池数量
minIdle: 10
# 最大连接池数量
maxActive: 20
# 配置获取连贯期待超时的工夫
maxWait: 60000
# 配置距离多久才进行一次检测,检测须要敞开的闲暇连贯,单位是毫秒
timeBetweenEvictionRunsMillis: 60000
# 配置一个连贯在池中最小生存的工夫,单位是毫秒
minEvictableIdleTimeMillis: 300000
# 配置一个连贯在池中最大生存的工夫,单位是毫秒
maxEvictableIdleTimeMillis: 900000
# 配置检测连贯是否无效
validationQuery: SELECT 1 FROM DUAL
testWhileIdle: true
testOnBorrow: false
testOnReturn: false
webStatFilter:
enabled: true
statViewServlet:
enabled: true
# 设置白名单,不填则容许所有拜访
allow:
url-pattern: /druid/*
# 控制台治理用户名和明码
login-username:
login-password:
filter:
stat:
enabled: true
# 慢 SQL 记录
log-slow-sql: true
slow-sql-millis: 1000
merge-sql: true
wall:
config:
multi-statement-allow: true
jasypt:
encryptor:
password: lybgeek
algorithm: PBEWithMD5AndDES
iv-generator-classname: org.jasypt.iv.NoIvGenerator
计划三:自定义实现
实现原理: 利用 spring 后置处理器批改 DataSource
1、自定义加解密工具类
/**
* 利用 hutool 封装的加解密工具,以 AES 对称加密算法为例
*/
public final class EncryptorUtils {
private static String secretKey;
static {secretKey = Hex.encodeHexString(SecureUtil.generateKey(SymmetricAlgorithm.AES.getValue()).getEncoded());
System.out.println("secretKey-->" + secretKey);
System.out.println("--------------------------------------------------------------------------------------");
}
/**
* 明文加密
* @param plaintext
* @return
*/
@SneakyThrows
public static String encode(String plaintext){System.out.println("明文字符串:" + plaintext);
byte[] key = Hex.decodeHex(secretKey.toCharArray());
String ciphertext = SecureUtil.aes(key).encryptHex(plaintext);
System.out.println("加密后字符串:" + ciphertext);
return ciphertext;
}
/**
* 解密
* @param ciphertext
* @return
*/
@SneakyThrows
public static String decode(String ciphertext){System.out.println("加密字符串:" + ciphertext);
byte[] key = Hex.decodeHex(secretKey.toCharArray());
String plaintext = SecureUtil.aes(key).decryptStr(ciphertext);
System.out.println("解密后的字符串:" + plaintext);
return plaintext;
}
/**
* 明文加密
* @param plaintext
* @return
*/
@SneakyThrows
public static String encode(String secretKey,String plaintext){System.out.println("明文字符串:" + plaintext);
byte[] key = Hex.decodeHex(secretKey.toCharArray());
String ciphertext = SecureUtil.aes(key).encryptHex(plaintext);
System.out.println("加密后字符串:" + ciphertext);
return ciphertext;
}
/**
* 解密
* @param ciphertext
* @return
*/
@SneakyThrows
public static String decode(String secretKey,String ciphertext){System.out.println("加密字符串:" + ciphertext);
byte[] key = Hex.decodeHex(secretKey.toCharArray());
String plaintext = SecureUtil.aes(key).decryptStr(ciphertext);
System.out.println("解密后的字符串:" + plaintext);
return plaintext;
}
}
2、编写后置处理器
public class DruidDataSourceEncyptBeanPostProcessor implements BeanPostProcessor {
private CustomEncryptProperties customEncryptProperties;
private DataSourceProperties dataSourceProperties;
public DruidDataSourceEncyptBeanPostProcessor(CustomEncryptProperties customEncryptProperties, DataSourceProperties dataSourceProperties) {
this.customEncryptProperties = customEncryptProperties;
this.dataSourceProperties = dataSourceProperties;
}
@Override
public Object postProcessBeforeInitialization(Object bean, String beanName) throws BeansException {if(bean instanceof DruidDataSource){if(customEncryptProperties.isEnabled()){DruidDataSource druidDataSource = (DruidDataSource)bean;
System.out.println("--------------------------------------------------------------------------------------");
String username = dataSourceProperties.getUsername();
druidDataSource.setUsername(EncryptorUtils.decode(customEncryptProperties.getSecretKey(),username));
System.out.println("--------------------------------------------------------------------------------------");
String password = dataSourceProperties.getPassword();
druidDataSource.setPassword(EncryptorUtils.decode(customEncryptProperties.getSecretKey(),password));
System.out.println("--------------------------------------------------------------------------------------");
String url = dataSourceProperties.getUrl();
druidDataSource.setUrl(EncryptorUtils.decode(customEncryptProperties.getSecretKey(),url));
System.out.println("--------------------------------------------------------------------------------------");
}
}
return bean;
}
}
3、批改数据库的配置文件内容信息
a、 批改明码
把明码替换成用自定义加密工具类生成的加密明码
password: ${DATASOURCE_PWD:fb31cdd78a5fa2c43f530b849f1135e7}
b、 指定密钥和开启加密性能
custom:
encrypt:
enabled: true
secret-key: 2f8ba810011e0973728afa3f28a0ecb6
ps: 同理 secret-key 最好也不要间接裸露在配置文件中,能够用 -Dcustom.encrypt.secret-key 指定
附录: 残缺数据库配置
spring:
datasource:
type: com.alibaba.druid.pool.DruidDataSource
driverClassName: com.mysql.cj.jdbc.Driver
url: ${DATASOURCE_URL:dcb268cf3a2626381d2bc5c96f94fb3d7f99352e0e392362cb818a321b0ca61f3a8dad3aeb084242b745c61a1d3dc244ed1484bf745c858c44560dde10e60e90ac65f77ce2926676df7af6b35aefd2bb984ff9a868f1f9052ee9cae5572fa015b66a602f32df39fb1bbc36e04cc0f148e4d610a3e5d54f2eb7c57e4729c9d7b4}
username: ${DATASOURCE_USERNAME:61db3bf3c6d3fe3ce87549c1af1e9061}
password: ${DATASOURCE_PWD:fb31cdd78a5fa2c43f530b849f1135e7}
druid:
# 初始连接数
initialSize: 5
# 最小连接池数量
minIdle: 10
# 最大连接池数量
maxActive: 20
# 配置获取连贯期待超时的工夫
maxWait: 60000
# 配置距离多久才进行一次检测,检测须要敞开的闲暇连贯,单位是毫秒
timeBetweenEvictionRunsMillis: 60000
# 配置一个连贯在池中最小生存的工夫,单位是毫秒
minEvictableIdleTimeMillis: 300000
# 配置一个连贯在池中最大生存的工夫,单位是毫秒
maxEvictableIdleTimeMillis: 900000
# 配置检测连贯是否无效
validationQuery: SELECT 1 FROM DUAL
testWhileIdle: true
testOnBorrow: false
testOnReturn: false
webStatFilter:
enabled: true
statViewServlet:
enabled: true
# 设置白名单,不填则容许所有拜访
allow:
url-pattern: /druid/*
# 控制台治理用户名和明码
login-username:
login-password:
filter:
stat:
enabled: true
# 慢 SQL 记录
log-slow-sql: true
slow-sql-millis: 1000
merge-sql: true
wall:
config:
multi-statement-allow: true
custom:
encrypt:
enabled: true
secret-key: 2f8ba810011e0973728afa3f28a0ecb6
总结
下面三种计划,集体比拟举荐用 jasypt 这种计划,因为它不仅能够对明码加密,也能够对其余内容加密。而 druid 只能对数据库明码加密。至于自定义的计划,属于练手,毕竟开源曾经有的货色,就不要再本人造轮子了。
最初还有一个留神点就是 jasypt 如果是高于 2 版本,且以低于 3.0.3,会导致配置核心,比方 apollo 或者 nacos 的动静刷新配置生效(最新版的 3.0.3 官网说曾经修复了这个问题)。
如果有应用配置核心的话,jasypt 举荐应用 3 版本以下,或者应用 3.0.3 版本
demo 链接
https://github.com/lyb-geek/springboot-learning/tree/master/springboot-datasouce-encrypt