为什么需要加密
- 这是一套完整的账号信息管理体系,不同岗位不同职责,也就是承担不同的责任。
- 比如在小程序开发过程中,很多公司都会把 appId、appSecret 直接赔偿成明文的,当有员工离职时很难进行管理【貌似只有重置才行】
- 对于比较核心的账号 要有专人管理,每个人都有自己的职责,看该看的东西【不同团队需求不同】
遇到过最奇葩的事情
- 有个工程师从一家公司离职1年多,1年多过后居然还能连接上前公司生产的数据库,还能进行操作【真的好可怕。。。】
- 暴露核心参数,有员工故意诋毁老东家【伤敌一千自损八百】。
核心关注问题
jasypt.encryptor.password可以泄漏吗?
例子中jasypt.encryptor.password配置在配置文件中不就等于泄漏了吗?
- 是这样的,需要在流程上进行控制.springboot打包时千万不要把jasypt.encryptor.password打入jar包内.
在公司具体的流程可能是这样的:
- 运维人员持有jasypt.encryptor.password,加密原文获得密文
- 运维人员将密文发给开发人员
- 开发人员在配置文件中只配置密文,不配置jasypt.encryptor.password
- 运维人员启动应用时再配置jasypt.encryptor.password
参考文献
其他
jdk 1.8 加密:
java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI password=c3d75d53c04b4b7f9984794254c48fe6 algorithm=PBEWithMD5AndDES ivGeneratorClassName=org.jasypt.iv.RandomIvGenerator input=123456