前言
SpringBoot配置文件中的内容通常情况下是明文显示,安全性就比较低一些。在application.properties或application.yml,比如mysql登陆密码,redis登陆密码以及第三方的密钥等等一览无余,这次是公安部和一些其他安全部门扫描我们代码前我们自己做整改,这里介绍一个加解密组件,提高一些属性配置的安全性。
jasypt由一个国外大神写了一个springboot下的工具包
文章内容较短且通俗易懂。
druid 也可以做数据库明文加密,jasypt任何配置都可以加密。
正文
介绍一下本次使用所有框架和中间件的版本
框架 | 版本 |
Spring Boot | 2.0.2.RELEASE |
JDK | 1.8.x |
加入maven依赖
<dependency>
<groupId>com.github.ulisesbocchio</groupId>
<artifactId>jasypt-spring-boot-starter</artifactId>
<version>2.1.0</version>
</dependency>
2.1.0版本是我用的时候最新版本。查看最新版本可以到
https://github.com/ulisesbocchio/jasypt-spring-boot
application.properties配置文件中增加如下内容(加解密时使用,改成任意字符都可以)
jasypt.encryptor.password: EbfYkitulv73I2p0mXI50JMXoaxZTKJ0
在测试用例中生成加密后的秘钥
public class Encryptor {
@Test
public void getPass() {
BasicTextEncryptor textEncryptor = new BasicTextEncryptor();
textEncryptor.setPassword("EbfYkitulv73I2p0mXI50JMXoaxZTKJ0");
String url = textEncryptor.encrypt("jdbc:oracle:thin:xxxx");
String name = textEncryptor.encrypt("数据库账号");
String password = textEncryptor.encrypt("数据库密码");
//解密内容
// String url = textEncryptor.decrypt("");
// String name = textEncryptor.decrypt("");
// String password = textEncryptor.decrypt("4EyN0xDLbnP2lsaayjl8fbIctj5bVIdD");
System.out.println(url + "----------------");
System.out.println(name + "----------------");
System.out.println(password + "----------------");
Assert.assertTrue(name.length() > 0);
Assert.assertTrue(password.length() > 0);
}
}
注:同一个字符加密多次结果不一样,解密后是一样的。
把你生成的密钥替换到配置文件相应位置
注意上面的 ENC()是固定写法,()里面是加密后的信息。
如果说你的盐值(jasypt.encryptor.password) 写在配置文件中不安全可以使用一下两个办法
1.可以在项目部署的时候使用命令传入salt(盐)值
java -jar -Djasypt.encryptor.password=G0CvDz7oJn6 xxx.jar
2.或者在服务器的环境变量里配置,进一步提高安全性
打开/etc/profile文件
vim /etc/profile
文件末尾插入
export JASYPT_PASSWORD = G0CvDz7oJn6
编译
source /etc/profile
运行
java -jar -Djasypt.encryptor.password=${JASYPT_PASSWORD} xxx.jar
到此,我们就实现了springboot配置文件里的敏感信息加密。是不是很简单。