SpringBoot 项目 Jar 包加密,防止反编译

文章目录

场景

最近项目2B,要求部署到其他公司和机构的私有服务器上,但是又不想将源码泄露出去。要求对正式环境的启动包进行安全性处理,防止客户直接通过反编译工具将代码反编译出来。

方案

  • 第一种方案使用代码混淆
    采用proguard-maven-plugin插件。

在单模块中此方案还算简单,但是现在项目一般都是多模块,一个模块依赖多个公共模块。那么使用此方案就比较麻烦,配置复杂,文档难懂,各模块之间的调用在是否混淆时极其容易出错。

  • 第二种方案使用代码加密
    采用classfinal-maven-plugin插件

此方案比对上面的方案来说,就简单了许多。直接配置一个插件就可以实现源码的安全性保护。并且可以对yml、properties配置文件以及lib目录下的maven依赖进行加密处理。若想指定机器启动,支持绑定机器,项目加密后只能在特定机器运行。

ClassFinal项目源码地址:https://gitee.com/roseboy/classfinal

spring项目加密操作

只需要在启动类的pom.xml文件中加如下插件即可,需要注意的是,改插件时要放到spring-boot-maven-plugin插件后面,否则不起作用。

bash 复制代码
 <build>
    <plugins>
        <plugin>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-maven-plugin</artifactId>
        </plugin>
        <plugin>
            <!--
                    1. 加密后,方法体被清空,保留方法参数、注解等信息.主要兼容swagger文档注解扫描
                    2. 方法体被清空后,反编译只能看到方法名和注解,看不到方法体的具体内容
                    3. 加密后的项目需要设置javaagent来启动,启动过程中解密class,完全内存解密,不留下任何解密后的文件
                    4. 启动加密后的jar,生成xxx-encrypted.jar,这个就是加密后的jar文件,加密后不可直接执行
                    5. 无密码启动方式,java -javaagent:xxx-encrypted.jar -jar xxx-encrypted.jar
                    6. 有密码启动方式,java -javaagent:xxx-encrypted.jar='-pwd= 密码' -jar xxx-encrypted.jar
                -->
            <groupId>net.roseboy</groupId>
            <artifactId>classfinal-maven-plugin</artifactId>
            <version>1.2.1</version>
            <configuration>
                <password>#</password><!-- #表示启动时不需要密码,事实上对于代码混淆来说,这个密码没什么用,它只是一个启动密码 -->
                <excludes>org.spring</excludes>
                <packages>${groupId}</packages><!-- 加密的包名,多个包用逗号分开 -->
                <cfgfiles>application.yml,application-dev.yml</cfgfiles><!-- 加密的配置文件,多个包用逗号分开 -->
                <libjars>hutool-all.jar</libjars> <!-- jar包lib下面要加密的jar依赖文件,多个包用逗号分开 -->
                <code>xxxx</code> <!-- 指定机器启动,机器码 -->
            </configuration>
            <executions>
                <execution>
                    <phase>package</phase>
                    <goals>
                        <goal>classFinal</goal>
                    </goals>
                </execution>
            </executions>
        </plugin>
    </plugins>

</build>

启动方式

无密码启动

bash 复制代码
java -javaagent:xxx-encrypted.jar -jar xxx-encrypted.jar

有密码启动

bash 复制代码
java -javaagent:xxx-encrypted.jar='-pwd=密码' -jar xxx-encrypted.jar

dockfile启动

bash 复制代码
FROM openjdk:11-jre

COPY target/xxx-encrypted.jar /xxx-encrypted.jar

ENV JAVA_DFLT_OPTS="-server -XX:+PrintCommandLineFlags -Dfile.encoding=UTF-8 -Dsun.jnu.encoding=UTF-8 -Duser.timezone=GMT+08 -XX:MetaspaceSize=512m -XX:MaxMetaspaceSize=512m -Xss512k -XX:-UseParallelGC -XX:NewRatio=1 -XX:SurvivorRatio=8"

ENV JAVA_MEM_OPTIONS="-Xmx512m -Xms512m"

EXPOSE 8080

ENTRYPOINT ["sh","-c","exec java $JAVA_DFLT_OPTS $JAVA_MEM_OPTIONS -jar -javaagent:/xxx-encrypted.jar /xxx-encrypted.jar --spring.cloud.bootstrap.location=/bootstrap.yml"]

反编译效果

启动包加密之后,方法体被清空,保留方法参数、注解等信息.主要兼容swagger文档注解扫描。

反编译只能看到方法名和注解,看不到方法体的具体内容。

启动过程中解密class,完全内存解密,不留下任何解密后的文件。

yml配置文件留下空白

原文转载

SpringBoot 项目 Jar 包加密,防止反编译

https://www.51cto.com/article/796927.html

相关推荐
CodeSaku1 小时前
是设计模式,我们有救了!!!(七、责任链模式:Chain of Responsibity)
后端
贵州数擎科技有限公司1 小时前
Go-zero 构建 RPC 与 API 服务全流程
后端
笃行3502 小时前
KingbaseES读写分离集群架构解析
后端
小枫编程3 小时前
Spring Boot 与微服务网关集成问题:Zuul、Spring Cloud Gateway 与鉴权策略
spring boot
IT_陈寒3 小时前
Python 3.12 新特性实战:10个性能优化技巧让你的代码快如闪电⚡
前端·人工智能·后端
麦兜*5 小时前
MongoDB 与 GraphQL 结合:现代 API 开发新范式
java·数据库·spring boot·mongodb·spring·maven·graphql
绝无仅有5 小时前
前端开发环境搭建:从安装 Node 到成功运行代码
后端·面试·github
yshhuang5 小时前
在Windows上搭建开发环境
前端·后端
绝无仅有5 小时前
某个互联网大厂的Elasticsearch基础面试题与答案
后端·面试·github
无责任此方_修行中5 小时前
AWS IoT Core 成本优化实战:从 PoC 到生产的省钱之旅
后端·架构·aws