数据库的安全访问是很重要的事情。如果搭建一个web应用或者application需要访问数据库的话,如果把数据库的用户名和密码直接放在hibernate的配置文件当中,那么用户很容易或者密码。如果限制这个密码文件的访问,可能调试问题会很麻烦。
1。对于web应用,采用JNDI的方法配置数据库参数可以避免代码中含有数据库的连接信息。参见http://tomcat.apache.org/tomcat-6.0-doc/jndi-resources-howto.html
它的数据源tomcat默认使用dbcp connection pool。如果希望自己对数据库的用户名和密码进行加密,可以参照里面的方法写一个org.apache.tomcat.dbcp.dbcp.BasicDataSourceFactory的子类,对密码加密后再传递出来,防止密码被直接看到。此外,要把密钥文件做好安全限制。
web应用如果使用spring框架的话,就不需要hibernate的配置文件,这时一般采用dataSource配置,可以自定义dataSource,实现加密的目的。
2。对于application应用,数据库的连接可能使用jdbc或者连接池如dbcp, c3p0, proxypool, 这样的数据源可以通过hibernate的配置文件进行。如果要自己进行扩展加密的话,就需要继承org.hibernate.connection.ConnectionProvider。通过配置:
<property name="connection.provider_class"> cn.MyConnProvider</property>