如何优雅的加密配置文件中的敏感信息

为什么要加密配置文件信息

我们平时的项目中，会在配置文件中配置一些敏感信息，比如配置数据库账号、密码等信息。如果我们将配置文件与代码一起打包，别人拿到jar包后很有可能反编译jar，从而获取里面的配置文件信息。如果有人对数据库信息恶意破坏，那么就会产生不可估量的损失。

如上图，我们将jar包反编译会看到application-*.yml相关文件的信息，里面就包含一些敏感用户名密码信息。

因此我们需要将这些敏感信息进行加密。

以SpringBoot工程中的数据库地址，密码为例。

开源插件推荐

我们可以自己开发加密功能，这里我引入一个开源插件。

就是这个大佬的项目。

该项目github地址：

“

https://github.com/ulisesbocchio/jasypt-spring-boot

”

使用介绍

具体的使用方式可以参考项目里面的说明README.md，下面我们简单来使用一下：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>2.1.0</version>
</dependency>

引入框架后，我们配置文件数据库信息就可以用加密的形式来配置。

这里使用了ENC(*)用于识别是否需要加密。

同时还要在application文件中中配置密钥：

当然更加安全的方法是将密匙加载在环境变量中：

这样在启动系统时，执行如下命令即可：

java -jar -Djasypt.encryptor.password=${JASYPT_PASSWORD} xxx.jar

那么加密的数据是怎么获取的呢，我们需要将真实的地址和密码行进加密，加密代码如下：

运行上述代码即可获取加密后的数据库信息。

此框架的逻辑是，在加载配置文件时，做拦截操作，当发现有ENC包裹的字符串，会对其进行解密操作。

源码分析

我们看源码中

JasyptSpringBootAutoConfiguration类，系统在启动时会加载这个类。

/**
 * @author Ulises Bocchio
 */
@Configuration
@Import(EnableEncryptablePropertiesConfiguration.class)
  public class JasyptSpringBootAutoConfiguration {
}

这里加载了类EnableEncryptablePropertiesConfiguration。我们来看这个类的代码。

@Configuration
@Import({EncryptablePropertyResolverConfiguration.class, CachingConfiguration.class})
@Slf4j
public class EnableEncryptablePropertiesConfiguration {
 
    @Bean
    public static EnableEncryptablePropertiesBeanFactoryPostProcessor enableEncryptablePropertySourcesPostProcessor(final ConfigurableEnvironment environment, EncryptablePropertySourceConverter converter) {
        return new EnableEncryptablePropertiesBeanFactoryPostProcessor(environment, converter);
    }
}

这里类EnableEncryptablePropertiesConfiguration注册了一个类EnableEncryptablePropertiesBeanFactoryPostProcessor。

如上图，EnableEncryptablePropertiesBeanFactoryPostProcessor类用于加载配置文件。

这个类中的构造器中传入了两个参数：environment和converter。其中converter就是对配置文件做解析处理用的。

在EncryptablePropertySourceConverter类中，

@SuppressWarnings({"unchecked", "rawtypes"})
    private <T> PropertySource<T> instantiatePropertySource(PropertySource<T> propertySource) {
        PropertySource<T> encryptablePropertySource;
        if (needsProxyAnyway(propertySource)) {
            encryptablePropertySource = proxyPropertySource(propertySource);
        } else if (propertySource instanceof SystemEnvironmentPropertySource) {
            encryptablePropertySource = (PropertySource<T>) new EncryptableSystemEnvironmentPropertySourceWrapper((SystemEnvironmentPropertySource) propertySource, propertyResolver, propertyFilter);
        } else if (propertySource instanceof MapPropertySource) {
            encryptablePropertySource = (PropertySource<T>) new EncryptableMapPropertySourceWrapper((MapPropertySource) propertySource, propertyResolver, propertyFilter);
        } else if (propertySource instanceof EnumerablePropertySource) {
            encryptablePropertySource = new EncryptableEnumerablePropertySourceWrapper<>((EnumerablePropertySource) propertySource, propertyResolver, propertyFilter);
        } else {
            encryptablePropertySource = new EncryptablePropertySourceWrapper<>(propertySource, propertyResolver, propertyFilter);
        }
        return encryptablePropertySource;
    }

从上面代码看，我们发现EncryptableMapPropertySourceWrapper类和EncryptableEnumerablePropertySourceWrapper类出现频繁，这两个类其实就是用于解密的类。

这两个类都重写了getProperty方法

@Override
public Object getProperty(String name) {
 return encryptableDelegate.getProperty(name);
}

我们来看看里面的getProperty()方法。

最终调到EncryptablePropertySource#getProperty中

default Object getProperty(EncryptablePropertyResolver resolver, EncryptablePropertyFilter filter, PropertySource<T> source, String name) {
    Object value = source.getProperty(name);
    if (value != null && filter.shouldInclude(source, name) && value instanceof String) {
        String stringValue = String.valueOf(value);
        return resolver.resolvePropertyValue(stringValue);
    }
    return value;
}

我们在来看看resolver.resolvePropertyValue(stringValue)方法：

这里对配置文件中的value做了筛选：

@Override
public boolean isEncrypted(String property) {
    if (property == null) {
     return false;
    }
    final String trimmedValue = property.trim();
    return (trimmedValue.startsWith(prefix) &&
    trimmedValue.endsWith(suffix));
}

筛选的是以ENC包裹的值。

private String prefix = "ENC(";
private String suffix = ")";

在resolver.resolvePropertyValue(stringValue)方法中，做了几件事：

“

1.获取ENC包裹的字符value

2.截取括号里面的值

3.占位符替换

4.解码

”

我们调试看看，启动系统：

这里会将配置文件中ENC包裹的value值进行解码：

解码操作：

将解码后的值写回到缓存ConcurrentMapCache中：

这样spring后面读取的value就是解码后的value了。

今天的文章就写到这里了，如果对你有帮助，欢迎点赞+转发。