SpringBoot Jar 包加密防止反编译

        今天看到了一个说明jar包加密的实现方式，特意试了下效果，并下载了插件源码及实现源码查看了下子，感兴趣的可以在最后得到gitee地址。

        SpringBoot 程序 Jar 包加密的方式，通过代码加密可以实现无法反编译。应用场景就是当需要把公司的产品部署到友方公司或者其他公司时，可以防止客户直接反编译出来源码，大大提升代码的安全性。

第一种是代码混淆的方式，可以参考proguard-maven-plugin插件使用，配置比较复杂。

第二种方式是使用代码加密的方式，classfinal-maven-plugin方式比较简单，只需要在pom.xml文件中引入一个plugin，然后简单的修改几项配置即可使用。这种方式不仅可以对代码进行加密，对配置文件application.yml、lib 下的依赖也可以加密以及指定机器运行程序。

开始验证

首先创建一个测试jar包，在此基础上开始

1. pom.xml 中加入

<plugin>
      <!--
        1. 加密后,方法体被清空,保留方法参数、注解等信息.主要兼容swagger文档注解扫描
        2. 方法体被清空后,反编译只能看到方法名和注解,看不到方法体的具体内容
        3. 加密后的项目需要设置javaagent来启动,启动过程中解密class,完全内存解密,不留下任何解密后的文件
        4. 启动加密后的jar,生成xxx-encrypted.jar,这个就是加密后的jar文件,加密后不可直接执行
        5. 无密码启动方式,java -javaagent:xxx-encrypted.jar -jar xxx-encrypted.jar
        6. 有密码启动方式,java -javaagent:xxx-encrypted.jar='-pwd= 密码' -jar xxx-encrypted.jar
                -->
   <groupId>net.roseboy</groupId>
   <artifactId>classfinal-maven-plugin</artifactId>
   <version>1.2.1</version>
   <configuration>
      <!-- #表示启动时不需要密码,事实上对于代码混淆来说,这个密码没什么用,它只是一个启动密码 -->
      <password>peach123</password>
      <excludes>org.spring</excludes>
      <!-- 加密的包名,多个包用逗号分开 -->
      <packages>${groupId}</packages>
      <!-- 加密的配置文件,多个包用逗号分开 -->
      <cfgfiles>application.yml,application-dev.yml,application.properties</cfgfiles>
      <!-- jar包lib下面要加密的jar依赖文件,多个包用逗号分开 -->
      <libjars>hutool-all.jar</libjars>
      <code>E5967EA3B33C21242D5FA564E125E276D41D8CD98F00B204E9800998ECF8427ED41D8CD98F00B204E9800998ECF8427E</code> <!-- 指定机器启动,机器码 -->
   </configuration>

   <executions>
      <execution>
         <phase>package</phase>
         <goals>
            <goal>classFinal</goal>
         </goals>
      </execution>
   </executions>
</plugin>

注意：需在

<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-maven-plugin</artifactId>

后添加

2. 上述代码中的机器码可以使用如下工具生成，进去之后点击下载

https://repo1.maven.org/maven2/net/roseboy/classfinal-fatjar/1.2.1/classfinal-fatjar-1.2.1.jar

3. 然后执行，注意最后参数为大写的C。

        java -jar classfinal-fatjar-1.2.1.jar –C

4. 最后将输出的机器码放入到上方的 code 中即可。

不在指定的机器码生成机器启动项目：

5. 执行 Maven 命令打包即可，生成文件如下，其中emm-business-demo-0.0.1-SNAPSHOT-encrypted.jar为生成的加密jar 包。

如需提供给客户，提供该包即可。

使用反编译工具，查看 jar 包中配置文件，可以看到配置文件已经为空

未加密：

加密包：

加密代码：

未加密：

可以看到方法体被清空，只保留了方法参数、注解等信息

6. 无密码启动

java -javaagent:加密jar包的名称 -jar 加密jar包的名称

java -javaagent:emm-business-demo-0.0.1-SNAPSHOT-encrypted.jar -jar emm-business-demo-0.0.1-SNAPSHOT-encrypted.jar

7. 有密码启动：

输入密码错误：

输入密码正确：

具体的功能及实现方式，可以查看 https://gitee.com/roseboy/classfinal/tree/master