spring、spring-boot配置文件屬性內容加解密

實際項目開發過程中，我們的應用程序都有很多的配置文件（例如properties或者yml文件等），我們時常會遇到需要對配置文件敏感字段的參數內容進行加密處理(比如數據庫連接密碼、與第三方的通信密鑰等)。

如果採用一定採用傳統的springMVC做系統集成，我們可以繼承PropertyPlaceholderConfigurer類並複寫其converProperty方法，在該方法內一般需要做兩步處理：

1、根據參數名propertyName或者根據參數值propertyValue判斷當前是否需要進行內容解密。

2、如果需要解密，根據系統設計調用解密處理邏輯，然後調用父級converProperty方法。

按照上面的思路，我們先實現自己的PropertyPlaceholderConfigurer子類，假如當前我們的需求是要將test.content參數值後面追加內容“《我是後加的內容》”

@Slf4j
public class MyPropertyPlaceholderConfigurer extends PropertyPlaceholderConfigurer {
    @Override
    protected String convertProperty(String propertyName, String propertyValue) {
        //這裏做對屬性的內容的加解密等操作
        //TODO something
        if (propertyName.equalsIgnoreCase("test.content")) {
            log.info("當前即將過濾的內容[" + propertyName + "]=[" + propertyValue + "]");
            propertyValue = propertyValue + "《我是後加的內容》";
        } else if (propertyName.equalsIgnoreCase("spring.datasource.password")) {
            propertyValue = propertyValue.replace("abc", "");
        }
        return super.convertProperty(propertyName, propertyValue);
    }
}

接下來，我們要是實例化我們自定義的PropertyPlaceholderConfigurer，如果我們使用xml方式配置，則代碼如下：

<bean id="propertyConfigurer" class="com.spring.boot.test.util.MyPropertPlaceholderConfigurer">
    <property name="locations">
        <list>
        <value>classpath:application.poperties</value>
        </list>
    </property>
</bean>

如果採用javaconfig方式時代碼如下：

    @Bean
public PropertyPlaceholderConfigurer propertyPlaceholderConfigurer(){
    PropertyPlaceholderConfigurer placeholderConfigurer=new MyPropertyPlaceholderConfigurer();
    PathMatchingResourcePatternResolver resolver = new PathMatchingResourcePatternResolver();
    Resource resource = resolver.getResource("classpath:application.properties");
    placeholderConfigurer.setLocation(resource);
    return placeholderConfigurer;
}

通過上面的步驟，我們可以在程序的TestService中使用自動注入或者Spring表達式@Value(“$(參數名)”)獲取到的內容就是我們解密之後的內容。我們啓動程序後我們可以看到日誌內容

c.s.b.t.u.MyPropertyPlaceholderConfigurer[16] - 當前即將過濾的內容[test.content]=[測試內容]
c.s.b.t.s.TestService[24] - 當前拿到的testContent=測試內容《我是後加的內容》

遺憾的時，上述方式存在兩個缺點：

1、目前只支持properties配置文件，當我們使用yaml文件後就不生效了，運行會報文件格式異常，如果要生效，必須複寫底層的loadProperties方法分別對不同格式的文件進行解析。但是這樣可能會麻煩的多。

2、當我們使用spring boot後，對數據庫相關配置參數解析後，數據庫自動初始化裝配無法成功，即數據庫會在PropertyPlaceholderConfigurer類之前初始化，如果加密內容正好是數據庫連接密碼，那麼程序啓動後會因爲數據庫無法連接而報錯，程序自動掛斷。錯誤內容：Failed to initialize pool: Access denied for user 'root'@'localhost' (using password: YES)

面對以上問題，直接通過修改PropertyPlaceholderConfigurer解決的路子我並沒有去測試，不過接下來我們介紹另外一種方式解決這個問題，那就是spring boot集成jasypt框架實現對配置文件的參數內容加解密。

jasypt是一個java實現的安全框架，最新版本已經不提供PlaceholderConfigurer，所以我們很難直接使用該框架報對properties或者yml文件進行處理，但是國外大神Ulises Bocchio寫了一個spring boot下用的工具包github地址https://github.com/ulisesbocchio/jasypt-spring-boot，該工具包支持使用jasypt框架來處理properties和yml配置文件參數內容的加解密操作，該工具已經發布到了中央倉庫供大家使用。而且文檔信息非常詳細。下面我們簡單說一下該工具的優勢。

1、該工具支持註解方式開啓jasypt功能，以及註解方式引入一個或多個需要處理的配置文件。

2、該工具同時支持properties與yml文件的解析處理。

3、該工具支持自定義加解密類型和複寫加解密方法。

在早期的版本中jasypt爲spring提供過EncryptablePropertyPlaceholderConfigurer與EncryptablePropertySourcesPlaceholderConfigurer兩個類，但是後面的包中都不包含這兩個類了。如果希望使用這種方式可以參考如下兩篇博客：

http://www.cnblogs.com/softidea/p/5841042.html

https://my.oschina.net/apdplat/blog/405306

最新的1.9.2版本中以上兩個類都已經不存在了。所以推薦使用Ulises Bocchio寫工具包來做系統集成。下面我們按照其文檔簡單配置一下使用思路。

首先，引入工具包依賴

<dependency>
        <groupId>com.github.ulisesbocchio</groupId>
        <artifactId>jasypt-spring-boot-starter</artifactId>
        <version>1.14</version>
</dependency>

如果不使用stater，我們可以引入如下包

<dependency>
        <groupId>com.github.ulisesbocchio</groupId>
        <artifactId>jasypt-spring-boot</artifactId>
        <version>1.14</version>
</dependency>

默認情況下jasypt採用的算法是PBEWithMD5AndDES，該算法對同一串明文每次加密的密文都不一樣，比較適合做數據加解密。但是該算法必須配置密碼，我們在yml文件配置如下參數

jasypt:
  encryptor:
    password: e!Jd&ljyJ^e4I5oU

如果想要改變其他配置例如密文的前後綴也可以在這裏配置。

如果上面引入的包不是starter，那麼需要在啓動類上添加註解@EnableEncryptableProperties以啓動該功能。

然後我們寫一個junit測試類，具體內容如下

public class TestBootTest {
    @Autowired
    StringEncryptor stringEncryptor;//密碼解碼器自動注入

    @Test
    public void test() {
        System.out.println(stringEncryptor.encrypt("123456"));
    }
}

執行後的控制檯輸出123456加密後的內容：P7xVJnbrn/MCzyVEOejTRw==

小提示：在控制檯下，我們直接使用jasypt工具包進行原始數據加密可以採用如下命令

java -cp jasypt-1.9.2.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input=原文 password=密碼 algorithm=加密方式

例如，我們要對中文“原文”進行加密，密碼爲123456，加密方式爲PBEWithMD5AndDES，則具體命令爲

java -cp jasypt-1.9.2.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input=原文 password=123456 algorithm=PBEWithMD5AndDES

執行後會在控制檯輸出如下內容

----ENVIRONMENT-----------------
Runtime: Oracle Corporation Java HotSpot(TM) 64-Bit Server VM 24.79-b02
----ARGUMENTS-------------------
algorithm: PBEWithMD5AndDES
input: 原文
password: 123456
----OUTPUT----------------------
BDhzghe2quZtDpX0ZM/e4w==

我們將spring.datasource.password的值配置爲ENC(P7xVJnbrn/MCzyVEOejTRw==)，爲什麼需要這麼配置呢，因爲默認情況下jasypt-spring-boot解析密碼的規則是前綴是ENC(後綴是)。我們改造我們的單元測試工具類

public class TestBootTest {
    @Autowired
    StringEncryptor stringEncryptor;//密碼解碼器自動注入
    @Value("${spring.datasource.password}")
    private String password;
    @Autowired
    private UserInfoMapper userInfoMapper;

    @Test
    public void test() {
//        System.out.println(stringEncryptor.encrypt("123456"));
        System.out.println("連接數據庫密碼:" + password);
        System.out.println("查詢到的信息："+userInfoMapper.selectByUserId(1));
    }
}

啓動單元測試，可以看到日誌輸出瞭如下內容

連接數據庫密碼:123456
[2017-08-03 22:20:41,653][INFO ] c.z.h.HikariDataSource[95] - HikariPool-1 - Starting...
[2017-08-03 22:20:42,200][INFO ] c.z.h.HikariDataSource[107] - HikariPool-1 - Start completed.
查詢到的信息：UserInfo(id=1, userName=test1, userAge=20, address=四川成都, addTime=2016-06-05 19:32:42)

可以看到採用jasypt-spring-boot-starter工具來集成spring boot與jasypt的功能成功實現了。我們看再看下配置日誌，可以看到默認情況下字符串加密機默認的配置信息

[2017-08-03 22:20:32,008][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.algorithm, using default value: PBEWithMD5AndDES
[2017-08-03 22:20:32,009][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.keyObtentionIterations, using default value: 1000
[2017-08-03 22:20:32,009][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.poolSize, using default value: 1
[2017-08-03 22:20:32,010][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.providerName, using default value: null
[2017-08-03 22:20:32,012][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.saltGeneratorClassname, using default value: org.jasypt.salt.RandomSaltGenerator
[2017-08-03 22:20:32,029][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.stringOutputType, using default value: base64

通過以上方式使用jasypt框架處理配置文件參數加密的功能就基本上OK了，但是存在一定的風險，那就是程序配置文件中，存在解密密文的密碼。因爲PBEWithMD5AndDES算法到處都可以找到實現。如果拿到了數據庫密文和算法的密碼，那麼很容易解析出連接數據庫的密碼。一般嚴謹的做法是不會將密文信息與解密工具放在一起，避免程序被獲取後，加密算法和數據庫密碼密文以及解密密碼都同時被泄露。我們公司就是採用C語言寫了一個加解密工具，放在服務器上特定的位置。有Java程序中去調用該工具進行解密。那麼這種情況下我們怎麼自定義解密邏輯呢？

從單元測試中可以看到我們注入了一個加解密的接口StringEncryptor，跟蹤改類的實現可以看到系統調用了encrypt方法用於明文加密，調用decrypt對密文進行解密。於是我們實現該接口,假如我們將數據庫密碼參數spring.datasource.password=123456配置爲spring.datasource.password=ENC(654321)，那麼在該類裏面我們要將654321替換爲123456，得到我們的真實密碼。代碼如下

public class DefaultEncryptor implements StringEncryptor {
    @Override
    public String encrypt(String message) {
        if ("123456".equalsIgnoreCase(message)) {
            message = "654321";
        }
        return message;
    }

    @Override
    public String decrypt(String encryptedMessage) {
        if ("654321".equalsIgnoreCase(encryptedMessage)) {
            log.info("將密文[654321]替換爲[123456]");
            encryptedMessage = "123456";
        }
        return encryptedMessage;
    }
}

接下來，我們使用java config方式實例化該對象替換默認的StringEncryptor實例，如下

@Bean(name = "stringEncryptor")
public StringEncryptor stringEncryptor() {
    return new DefaultEncryptor();
}

我們運行單元測試，可以看到自定義密碼解碼器的日誌信息

[2017-08-03 22:31:47,291][INFO ] c.s.b.t.u.DefaultEncryptor[22] - 將密文[654321]替換爲[123456]

通過以上步驟，我們採用自定義的StringEncryptor實現了上下文中敏感信息的自定義加解密處理。
特別說明，文中引入的jasypt-spring-boot-starter的版本是1.14，該版本要求JRE版本必須爲1.8。如果要想在1.6或者1.7下運行，那麼必須使用1.4或1.5的版本的定製版本。

1.7版本下引入：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>1.5-java7</version>
</dependency>

1.6版本下引入：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>1.5-java6</version>
</dependency>

spring、spring-boot配置文件屬性內容加解密

YUM下載並安裝RabbitMQ

大數的相乘Karatsuba算法

centos7 yum安裝mysql5.7

詭異的SSH免密失效

yum 下載全量依賴 rpm 包及離線安裝（終極解決方案）

Mac下配置sublime實現LaTeX

https://yachay.unat.edu.pe/blog/index.php?comment_area=format_blog&comment_component=blog&comment_co

linux以太網驅動總結