jasypt使用

jasypt使用

• Jasypt可以用于配置文件加密。通常配置文件中存放有数据库账号密码等敏感的输入，如果被攻击者通过任意文件读取的漏洞访问，那么这些敏感信息很容易泄露，因此对这些数据加密加强了系统的安全性。

• Jasypt使用分为加密和解密两部分。

  • 加密可以通过执行CMD命令，调用jar包中的JasyptPBEStrignEncryptionCLI类来执行加密；也可以编写测试代码，在代码中使用该jar包加密数据
  • 解密则需要在项目中进行相应的配置（详细如下）

单数据源配置

• pom.xml中引入jar包

  <!--高版本需要增加配置-->
  <dependency>         
     <groupId>com.github.ulisesbocchio</groupId>
     <artifactId>jasypt-spring-boot-starter</artifactId>
     <version>2.0.0</version>
  </dependency>
  

  jasypt-spring-boot-starter会依赖og.jasypt并自动导入，从而无需手动导入该包

• 进入本地仓库，找到org.jasypt包，并在该处打开cmd，输入命令

  java -cp jasypt-1.9.2.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input="123456" password="weaver" algorithm=PBEWithMD5AndDES
  

  其中，启动jar包后，调用了jasypt包中的JasyptPBEStringEncryptionCLI类，后边包含有一些参数，分别是：input待加密的字符串，password盐，algorithm加密算法

  

• 将加密后的字符串替换原来的配置文件中的值，并用ENC()括起来。ENC()是密文的标识符，可以通过

  

• 盐同样需要被加载到程序中，有三种方法：

  1. 在配置文件中增加配置：jasypt.encryptor.password。这样会导致盐暴漏，如果盐泄露，攻击者即可调用类JasyptPBEStringDecryptionCLI进行解密

  2. 配置jvm参数。打成jar包，然后使用命令执行jar包时加上

     

     由于springboot项目有内置的tomcat，因此可以直接打成jar运行

• 在spingboot启动类中增加@EnableEncryptableProperties注解即可

多数据源配置

多数据源配置jasypt的过程和单数据源一样，只是在项目中使用多数据源需要特殊配置。下面记录springboot配置多数据源的过程。

1. 在配置文件application.yml中，配置datasource部分增加多个数据源，并将账号密码加密

   spring:
   	datasource:
   		#数据源别名
           db1:
             username: ENC(IiBb0EBtHkLZ4RnLNKs7gA==)
             password: ENC(vAVHrB7LxWluYT8KbGz+c7GOgTfRjegX)
             jdbc-url: jdbc:mysql://localhost:3306/shop?serverTimezone=Asia/Shanghai
             driver-class-name: com.mysql.cj.jdbc.Driver
           db2:
             username: ENC(lG2v7QuwdQNwGuSDlLKeCA==)
             password: ENC(XIrMFS4fxYXeOJdN4/Vr+LJu6nh+Z9at)
             jdbc-url: jdbc:mysql://xxx.xxx.xxx.xxx:3306/target?serverTimezone=Asia/Shanghai
             driver-class-name: com.mysql.cj.jdbc.Driver
   

2. 新建DB1Config.java和DB2Config.java文件，里边包含了对应配置文件中数据源的配置代码

   DB1Config.java

   @Configuration
   //basePackage后边指定了哪些mapper文件要使用该数据源，当调用这些mapper时，会自动使用该数据源
   @MapperScan(basePackages = "com.example.demo.mapper.db1.**",sqlSessionTemplateRef = "db1SqlSessionTemplate")
   public class DB1Config {
   
       @Primary // 表示这个数据源是默认数据源, 这个注解必须要加，因为不加的话spring将分不清楚那个为主数据源（默认数据源）
       @Bean("db1DataSource")
       @ConfigurationProperties(prefix = "spring.datasource.db1") //读取application.yml中的配置参数映射成为一个对象
       public DataSource getDb1DataSource(){
           return DataSourceBuilder.create().build();
       }
   
       @Primary
       @Bean("db1SqlSessionFactory")
       public SqlSessionFactory db1SqlSessionFactory(@Qualifier("db1DataSource") DataSource dataSource) throws Exception {
           SqlSessionFactoryBean bean = new SqlSessionFactoryBean();
           bean.setDataSource(dataSource);
           // mapper的xml形式文件位置必须要配置，不然将报错：no statement （这种错误也可能是mapper的xml中，namespace与项目的路径不一致导致）
           bean.setMapperLocations(new PathMatchingResourcePatternResolver().getResources("classpath*:mapper/db1/*.xml"));
           return bean.getObject();
       }
   
       @Primary
       @Bean("db1SqlSessionTemplate")
       public SqlSessionTemplate db1SqlSessionTemplate(@Qualifier("db1SqlSessionFactory") SqlSessionFactory sqlSessionFactory){
           return new SqlSessionTemplate(sqlSessionFactory);
       }
   }
   
   

   DB2Config.java

   @Configuration
   @MapperScan(basePackages = "com.example.demo.mapper.db2.**",sqlSessionTemplateRef = "db2SqlSessionTemplate")
   public class DB2Config {
   
       @Bean("db2DataSource")
       @ConfigurationProperties(prefix = "spring.datasource.db2") //读取application.yml中的配置参数映射成为一个对象
       public DataSource getDb2DataSource(){
           return DataSourceBuilder.create().build();
       }
   
       @Bean("db2SqlSessionFactory")
       public SqlSessionFactory db2SqlSessionFactory(@Qualifier("db2DataSource") DataSource dataSource) throws Exception {
           SqlSessionFactoryBean bean = new SqlSessionFactoryBean();
           bean.setDataSource(dataSource);
           // mapper的xml形式文件位置必须要配置，不然将报错：no statement （这种错误也可能是mapper的xml中，namespace与项目的路径不一致导致）
           bean.setMapperLocations(new PathMatchingResourcePatternResolver().getResources("classpath*:mapper/db2/*.xml"));
           return bean.getObject();
       }
   
       @Bean("db2SqlSessionTemplate")
       public SqlSessionTemplate db2SqlSessionTemplate(@Qualifier("db2SqlSessionFactory") SqlSessionFactory sqlSessionFactory){
           return new SqlSessionTemplate(sqlSessionFactory);
       }
   }