이 구성을 살펴보겠습니다.
spring: # 数据库链接配置 datasource: url: jdbc:mysql://xx.xx.xx.xx:3306/database driver-class-name: com.mysql.cj.jdbc.Driver username: root password: "123456"
위 구성 spring.datasource.password
의 해당 값은 123456
입니다. 구성 파일에 직접 배치하는 것은 매우 부적절합니다. 우리가 해야 할 일은 다음과 같이 해당 값을 암호화된 암호문으로 변경하는 것입니다. spring.datasource.password
对应的值为123456
,这么敏感的信息直接放在配置文件中很不合适,我们要做的就是对应的值改成一个加密的密文,如下:
spring: # 数据库链接配置 datasource: url: jdbc:mysql://xx.xx.xx.xx:3306/database driver-class-name: com.mysql.cj.jdbc.Driver username: root password: "AES(DzANBAhBWXxZqAOsagIBCoaw8FV4gYRbid7G70UEM24=)"
这样的话,即使该配置文件被有心之人拿去,也不知道真正的数据库密码是啥,也就无法构成对项目的侵害风险;
我们为了实现这个功能,需要了解Spring
的相关扩展点以及对应的数据加解密知识,我们先来看看我们应该通过Spring
的哪个扩展点进行切入;
我们想要拦截配置数据的话,可以通过实现自定义的BeanFactoryPostProcessor
来处理:
public class PropertySourcePostProcessor implements BeanFactoryPostProcessor { private ConfigurableEnvironment environment; public PropertySourcePostProcessor(ConfigurableEnvironment environment) { this.environment = environment; } @Override public void postProcessBeanFactory(ConfigurableListableBeanFactory beanFactory) throws BeansException { // 从ConfigurableEnvironment中取出所有的配置数据 MutablePropertySources propertySources = this.environment.getPropertySources(); propertySources.stream() // 过滤不需要包装的对象 .filter(s -> !noWrapPropertySource(s)) // 包装所有的PropertySource .map(s -> new EncryPropertySource(s)) .collect(Collectors.toList()) // 替换掉propertySources中的PropertySource .forEach(wrap -> propertySources.replace(wrap.getName(), wrap)); } private boolean noWrapPropertySource(PropertySource propertySource) { return propertySource instanceof EncryPropertySource || StringUtils.equalsAny(propertySource.getClass().getName(), "org.springframework.core.env.PropertySource$StubPropertySource", "org.springframework.boot.context.properties.source.ConfigurationPropertySourcesPropertySource"); } }
基本原理解析如下:
1.通过ConfigurableEnvironment
取出所有的PropertySource
并依次遍历;
2.过滤掉不符合我们要求的PropertySource
,因为PropertySource
有很多子类,并不是所有的PropertySource
实例都符合我们包装的要求;
3.对符合要求的PropertySource
做一层包装,其实就是静态代理;
4.用包装好的PropertySource
替换掉之前的PropertySource
实例;
通过上述一系列的操作,我们就可以在PropertySource
取值的时候做一些自定义的操作了,比如针对密文密码进行解密;
剩下的另一个问题就是加解密的问题,密码学里面有对称加密和非对称加密,这两种加密方式的区别就是对称加密的加密解密都需要同一个密钥,而非对称加密加密的时候需要公钥,解密的时候需要私钥;
了解了对称加密与非对称加密的区别,如果我们使用的是对称加密,那么一定要避免密文和密钥放在同一个地方;非对称加密
一定要避免密文和私钥放在同一个地方;
接下来我们要介绍一款专门针对这个需求的jar
工具,它就是jasypt
,我们可以去maven
仓库找到相关的包:
<dependency> <groupId>com.github.ulisesbocchio</groupId> <artifactId>jasypt-spring-boot-starter</artifactId> <version>3.0.5</version> </dependency>
它的实现原理其实就是我们上面所讲述的,通过自定义BeanFactoryPostProcessor
对ConfigurableEnvironment
中的PropertySource
实例进行拦截包装,在包装类的实现上做一层解密操作,这样就实现了对密文密码的解密;
导入上述依赖后,该工具就已经自动生效了,我们就可以修改对应的配置了,首先我们先针对该工具做一些配置:
jasypt: encryptor: # 密钥 password: "" property: # 密文前缀 prefix: "" # 密文后缀 suffix: ""
在上述配置中,jasypt.encryptor.password
是一定要配置的,这就是加解密的密钥,默认的加密算法是PBEWITHHMACSHA512ANDAES_256
;另外jasypt.encryptor.property.prefix
和jasypt.encryptor.property.suffix
分别是密文前缀和密文后缀,是用来标注需要解密的密文的,如果不配置,默认的密文前缀是ENC(
,密文后缀是)
;默认情况下,我们的密文如下所示:
spring: datasource: password: "ENC(DzANBAhBWXxZqAOsagIBCoaw8FV4gYRbid7G70UEM24=)"
还有一个需要注意的点就是jasypt.encryptor.password
不能与密文放在一起,我们可以在项目当中通过系统属性、命令行参数或环境变量传递;
如果jasypt
提供的加解密方式不能满足咱们的项目需求,我们还可以自己实现加解密:
@Bean("jasyptStringEncryptor") public StringEncryptor jasyptStringEncryptor(){ return new StringEncryptor() { @Override public String encrypt(String s) { // TODO 加密 return null; } @Override public String decrypt(String s) { // TODO 解密 return null; } }; }
注意我们的BeanName
,默认情况下一定要设置成jasyptStringEncryptor
,否则不会生效,如果想要改变这个BeanName
,也可以通过修改这个配置参数来自定义StringEncryptor
实例所对应的BeanName
:
jasypt: encryptor: # 自定义StringEncryptor的BeanName bean: ""
生成密文的这个操作还是要自个儿通过调用StringEncryptor
@Component public class StringEncryptorUtil{ @Autowired private StringEncryptor encryptor; public void encrypt(){ String result = encryptor.encrypt("123456"); System.out.println(result); } }
Spring 및 해당 데이터 암호화 및 복호화 지식 먼저 <code>Spring
의 어떤 확장 지점을 잘라야 하는지 살펴보겠습니다. 🎜🎜구성 데이터를 가로채고 싶다면 이를 구현하여 처리할 수 있습니다. custom BeanFactoryPostProcessor
: 🎜rrreee🎜 기본 원칙은 다음과 같이 분석됩니다. 🎜🎜1 ConfigurableEnvironment
를 통해 모든 PropertySource
를 꺼내고 순서대로 탐색합니다. 🎜🎜2. 요구 사항 코드를 충족하지 않는 PropertySource
를 필터링합니다. PropertySource
에는 많은 하위 클래스가 있지만 모든 PropertySource
인스턴스가 우리의 요구 사항을 충족하는 것은 아니기 때문입니다. 🎜🎜3. 요구사항 /code를 충족하는 PropertySourcePropertySource
인스턴스 🎜🎜위의 일련의 작업을 통해 PropertySource
가 값을 가져올 때 암호문 암호 해독과 같은 일부 사용자 정의 작업을 수행할 수 있습니다. 남은 문제는 암호화와 복호화의 문제, 암호화 대칭암호와 비대칭암호의 차이점은 대칭암호는 암호화와 복호화에 동일한 키가 필요한 반면, 비대칭암호는 암호화와 복호화에 동일한 키가 필요하다는 점이다. 🎜🎜대칭 암호화와 비대칭 암호화의 차이점을 이해합니다. 대칭 암호화를 사용하는 경우 암호문과 키를 같은 위치에 배치하지 않아야 합니다. 암호문과 개인 키를 같은 위치에 두지 마세요. 🎜🎜도구 소개🎜🎜다음으로 이러한 요구에 맞게 특별히 jar
도구를 소개하겠습니다. code>jasypt, maven Warehouse로 가서 관련 패키지를 찾을 수 있습니다: 🎜rrreee🎜 구현 원리는 실제로 BeanFactoryPostProcessor
를 사용자 정의하여 위에서 설명한 것과 같습니다. ConfigurableEnvironment
PropertySource
인스턴스를 가로채서 패키징하고 패키징 클래스 구현에서 암호 해독 작업 계층을 수행하여 암호문 암호의 암호 해독을 실현합니다. 🎜위 종속성을 가져온 후 도구가 자동으로 적용됩니다. 먼저 해당 구성을 수정할 수 있습니다. 🎜rrreee🎜위 구성에서 jasypt.encryptor.password
암호화 및 복호화 키를 구성해야 하며, 기본 암호화 알고리즘은 PBEWITHHMACSHA512ANDAES_256
이며, 추가로 jasypt.encryptor.property.prefix
및 jasypt입니다. encryptor.property.suffix
는 각각 암호문 접두어와 암호문 접미어를 사용하여 해독해야 하는 암호문을 표시합니다. 구성되지 않은 경우 기본 암호문 접두사는 ENC(
, 암호문 접미사는 )
입니다. 기본적으로 암호문은 다음과 같습니다: 🎜rrreee🎜 주목해야 할 또 다른 점은 jasypt.encryptor.password
를 함께 배치할 수 없다는 것입니다. 시스템 속성, 명령줄 매개변수 또는 환경 변수를 통해 전달할 수 있습니다. 🎜jasypt
에서 제공하는 암호화 및 암호 해독 방법을 충족할 수 없는 경우 프로젝트에 필요한 경우 직접 암호화 및 암호 해독을 구현할 수도 있습니다. 🎜rrreee🎜 BeanName
에 주의하세요. 기본적으로 jasyptStringEncryptor
로 설정되어야 합니다. 그렇지 않으면 그렇지 않습니다. 이 BeanName
을 변경하려면 다음 구성 매개변수를 수정하여 StringEncryptor
인스턴스에 해당하는 BeanName
을 사용자 정의할 수도 있습니다. rrreeeStringEncryptor
인스턴스를 호출하여 암호화하고 생성해야 합니다. 다음 코드를 참조할 수 있습니다. 🎜rrreee🎜After. 모두, 암호화가 필요한 작업은 프로젝트 라이프사이클에서 한 번만 수행하면 되므로 우리는 단지 도구 클래스를 작성하고 호출하기만 하면 됩니다. 🎜위 내용은 Springboot가 구성 파일에서 일반 텍스트 비밀번호 암호화를 구현하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!