加固 Java 应用程序—代码加密的项目实践

Java 代码加密是一个较为敏感的话题，因为它直接涉及到应用程序的安全性和知识产权保护。对于客户定制项目来说，"代码是否加密" 是项目开发之前，必须讨论和确定的步骤。

就作者所在的项目组而言，加密密码的原因主要有以下几个原因：

合同约定：在与甲方合作的时候，合同中就规定了项目交付的时候，只提供运行程序。在这种约定下，我们需要对代码进行加密，帮助公司保护知识产权，避免未经授权的访问和复制。
数据安全：因为 Java 通常设计为后台的处理程序，因此通常处理敏感数据，如用户信息、金融数据等。通过加密代码，可以防止潜在的攻击者获取这些敏感信息。
安全传输：在应用程序部署和传输时，Java代码加密可以防止中间人攻击和未经授权的代码访问。

Java代码加密对于确保应用程序的安全性、保护知识产权以及满足合规性要求至关重要。它不仅有助于防范潜在的威胁，还为公司交付程序时，提供了更高级别的安全性和信心。

常见的代码加密方式

和直接使用加密工具不同，对于代码加密，目前市面上也存在很多方式，我们可以通过不同的方法来进行代码加密：

混淆（Obfuscation） ：
- 混淆是通过重命名类、方法和字段的名称，以及删除无用代码来改变Java代码的结构，增加反编译的难度。这使得攻击者更难理解和修改代码。
加密：
- 加密Java代码意味着将源代码或字节码转换为加密形式，以防止未经授权的访问。只有授权用户才能解密和运行代码。
代码签名和验证 ：
- 使用数字证书对Java代码进行签名，以确保它没有被篡改。在运行时，验证代码的签名，以确保它是可信的。

上面的3种方式，是最常见的代码加密方式。在日常的实践中，我们经常联合方案2和方案3进行代码加密。 对于方案1，我们一般不建议使用。一方面是自己混淆太浪费开发时间；另一方面的原因，也是因为这种没有规律的开发者自己混淆，很有可能导致，后续接手的开发人员无法正常进行后续的反混淆开发。

项目实战

如何接入项目

我们一般使用jasypt 这款广受好评的 Java 加密工具来进行加密。接下来的实践，我们以接入Spring Boot 项目作为demo。

1.添加Jasypt依赖：首先，需要将Jasypt库添加到Spring Boot项目中

xml 复制代码

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.4</version> <!-- 版本号可能会有变化 -->
</dependency>

2.配置加密属性 ：在application.properties或application.yml中配置Jasypt属性。指定加密密钥。

bash 复制代码

jasypt.encryptor.password=your-secret-key

3.在应用程序中使用加密属性 ：在 Spring Boot应用程序中，使用@Value注解和@EncryptProperty注解来读取和解密加密的属性。例如：

java 复制代码

import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.PropertySource;
import org.springframework.stereotype.Component;

@Component
@PropertySource("classpath:encrypted.properties")
public class MyComponent {

    @Value("${encrypted.property}")
    @EncryptProperty // 使用该注解来解密属性值
    private String decryptedProperty;

    public String getDecryptedProperty() {
        return decryptedProperty;
    }
}

4.加密属性文件：如果希望加密整个属性文件，可以使用Jasypt提供的命令行工具。运行以下命令：

bash 复制代码

java -cp /path/to/jasypt-3.0.4.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input="your-value" password=your-secret-key algorithm=PBEWithMD5AndDES

如何加密特殊的参数

上面介绍了如何将 jasypt 接入到 Spring Boot 中但是在真正的项目部署的时候，我们经常遇到一个问题：有些客户希望配置文件中的配置，例如数据库密码、redis密码等敏感信息，不进行明文展示。也就是说，我们需要对一些敏感的数据进行加密。我们以如何加密 MySQL 数据库密码为例：

要同时加密Spring Boot配置文件中的MySQL密码并获取加密后的字符串，可以使用Jasypt的命令行工具来执行加密操作。以下是具体步骤：

创建Jasypt加密密钥：首先，生成一个加密密钥。可以使用Jasypt提供的命令行工具生成密钥。运行以下命令：
bash 复制代码
```
java -cp /path/to/jasypt-3.0.4.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input=your-secret-key password=master-password algorithm=PBEWithMD5AndDES
```
- /path/to/jasypt-3.0.4.jar 替换为实际的Jasypt库路径。
- your-secret-key 替换为加密密钥。
- master-password 替换为用于加密加密密钥的主密码。
- algorithm 指定加密算法。在此示例中，使用的是PBEWithMD5AndDES。你可以根据需要选择不同的算法。
这个命令将生成加密后的密钥，将其复制以备后用。
加密MySQL密码：使用生成的密钥来加密MySQL密码。运行以下命令：
bash 复制代码
```
java -cp /path/to/jasypt-3.0.4.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input=your-mysql-password password=your-secret-key algorithm=PBEWithMD5AndDES
```
your-mysql-password 替换为要加密的MySQL密码。
- your-secret-key 替换为上一步生成的加密密钥。
- algorithm 指定加密算法，与生成密钥时使用的算法相同。
这个命令将输出加密后的MySQL密码字符串。
在Spring Boot配置中使用加密后的密码 ：将上一步中输出的加密后的MySQL密码字符串添加到Spring Boot的配置文件中，如application.properties或application.yml。
bash 复制代码
```
spring.datasource.username=my-username
spring.datasource.password=ENC(加密后的MySQL密码字符串)`
```
使用**ENC()**包装加密后的字符串，以便Spring Boot知道这是一个加密的属性值。

现在，我们就能够在Spring Boot应用程序中安全地使用加密的MySQL密码，而无需明文存储密码。

总结

代码加密是一个容易被忽视，但是在某些情况下十分需要的方向。

对于项目组来说，我们需要保障公司的某些敏感数据（例如数据接口、数据处理逻辑）得到充分的保护。代码加密有助于确保这些数据不被未经授权的人访问或窃取；在某些情况下，我们的业务可能受到法规和合规性要求的约束。代码加密有助于确保我们的应用程序符合这些要求。

最后，需要强调的是，代码加密并不是一劳永逸的解决方案。虽然它可以提供一定程度的安全性，但没有绝对的安全。攻击者可能会采取各种方法来反混淆代码，因此，安全性是一个多层次的问题。除了代码加密，还需要实施其他安全措施，如漏洞修复、安全编码实践和监控，以确保应用程序的全面安全性。