安全实现SpringBoot配置文件自动加解密

最新推荐文章于 2024-09-18 10:42:00 发布

程序员菠萝

最新推荐文章于 2024-09-18 10:42:00 发布

阅读量1.9k

点赞数 21

文章标签：安全 spring boot 数据库

本文链接：https://blog.csdn.net/xnxqwzy/article/details/136437693

版权

本文介绍了在SpringBoot项目中处理敏感配置加密的问题，通过使用jasypt-spring-boot包，实现EnvironmentPostProcessor和BeanFactoryPostProcessor，自定义加密和解密逻辑，确保配置文件安全，同时处理了密钥管理和加密算法的应用。

摘要由CSDN通过智能技术生成

需求背景

应用程序开发的时候，往往会存在一些敏感的配置属性

数据库账号、密码
第三方服务账号密码
内置加密密码
其他的敏感配置

对于安全性要求比较高的公司，往往不允许敏感配置以明文的方式出现。
通常做法是对这些敏感配置进行加密，然后在使用的地方进行解密。但是有一些第三方的配置可能未提供解密注入点如数据库密码，这时要实现起来就比较麻烦。有没有比较方便的方法可以自动识别并解密。
本次主要针对这个问题，解决敏感配置的加密问题

实现思路

使用已有的第三方包：如jasypt-spring-boot
- 这是一个针对SpringBoot项目配置进行加解密的包，可以在项目里通过引入依赖来实现。具体使用方式自行搜索
参考官方文档利用官方提供的扩展点自己实现
- 实现EnvironmentPostProcessor
  - EnvironmentPostProcessor在配置文件解析后，bean创建前调用
- 实现BeanFactoryPostProcessor（优先考虑）
  - BeanFactoryPostProcessor在配置文件解析后，bean创建前调用
  - 实现方式同EnvironmentPostProcessor基本一致，注入时机更靠后。

通过实现`EnvironmentPostProcessor`方式解决

实现EnvironmentPostProcessor可自定义环境配置处理逻辑。实现示例如下

    @Override
    public void postProcessEnvironment(ConfigurableEnvironment environment, SpringApplication application) {
        MutablePropertySources mutablePropertySources = environment.getPropertySources();

        for (PropertySource<?> propertySource : mutablePropertySources) {
            if (propertySource instanceof OriginTrackedMapPropertySource) {
                mutablePropertySources.replace(propertySource.getName(),
                // 实现一个包装类，动态判断
                        new PropertySourceWrapper(propertySource, initSimpleEncryptor("reduck-project")
                                , new EncryptionWrapperDetector("$ENC{", "}"))
                );
            }
        }
    }

EnvironmentPostProcessor
也可以自动扩展配置文件，如果有些项目自己在这个扩展点实现了自己的配置加载逻辑，可能就需要考虑顺序问题。这里比较推荐实现BeanFactoryPostProcessor，他在EnvironmentPostProcessor相关实例处理后调用，且在Bean创建前。可以更好满足需求。

通过实现`BeanFactoryPostProcessor`解决

实现EncryptionBeanPostProcessor

一般OriginTrackedMapPropertySource是我们自定义的配置加载实例，通过一个包装类替换原先的实例

@RequiredArgsConstructor
public class EncryptionBeanPostProcessor implements BeanFactoryPostProcessor, Ordered {
private final ConfigurableEnvironment environment;

@Override
public void postProcessBeanFactory(ConfigurableListableBeanFactory beanFactory) throws BeansException {
    MutablePropertySources mutablePropertySources = environment.getPropertySources();

    String secretKey = environment.getProperty("configuration.crypto.secret-key");

    if(secretKey ==  null) {
        return;
    }

    for (PropertySource<?> propertySource : mutablePropertySources) {
        if (propertySource instanceof OriginTrackedMapPropertySource) {
            mutablePropertySources.replace(propertySource.getName(),
                    new PropertySourceWrapper(propertySource
                            , new AesEncryptor(PrivateKeyFinder.getSecretKey(secretKey))
                            , new EncryptionWrapperDetector("$ENC{", "}"))
            );
        }
    }
}

@Override
public int getOrder() {
    return Ordered.LOWEST_PRECEDENCE - 100;
}

}

定义一个 PropertySource包装类

PropertySource只有一个方法 public Object getProperty(String name)，只需要实现这个方法，如果是加密配置就解密

public class PropertySourceWrapper extends PropertySource {
private final String prefix = “$ENC{”;
private final String suffix = “}”;

private final Encryptor encryptor;

private final PropertySource<T> originalPropertySource;
private final EncryptionWrapperDetector detector;


public PropertySourceWrapper(PropertySource<T> originalPropertySource, Encryptor encryptor, EncryptionWrapperDetector detector) {
    super(originalPropertySource.getName(), originalPropertySource.getSource());
    this.originalPropertySource = originalPropertySource;
    this.encryptor = encryptor;
    this.detector = detector;
}

@Override
public Object getProperty(String name) {
    if (originalPropertySource.containsProperty(name)) {
        Object value = originalPropertySource.getProperty(name);
        if (value != null) {
            String property = value.toString();
            if (detector.detected(property)) {
                return encryptor.decrypt(detector.unWrapper(property));
            }
        }
    }
    return originalPropertySource.getProperty(name);
}

}

定义一个加解密帮助类EncryptionWrapperDetector

根据前后缀判断是否是加密属性
对加密属性进行包装
对加密属性去除包装

public class EncryptionWrapperDetector {
private final String prefix;

private final String suffix;

public EncryptionWrapperDetector(String prefix, String suffix) {
    this.prefix = prefix;
    this.suffix = suffix;
}

public boolean detected(String property) {
    return property != null && property.startsWith(prefix) && property.endsWith(suffix);
}

public String wrapper(String property) {
    return prefix + property + suffix;
}

public String unWrapper(String property) {
    return property.substring(prefix.length(), property.length() - suffix.length());
}

}

定义一个加解密类

对配置文件进行加密
对配置问价进行解密

public class AesEncryptor implements Encryptor {

private final byte[] secretKey;
private final byte[] iv = new byte[16];

public AesEncryptor(byte[] secretKey) {
    this.secretKey = secretKey;
    System.arraycopy(secretKey, 0, iv, 0, 16);
}

@Override
public String encrypt(String message) {
    return Base64.getEncoder().encodeToString(_AesUtils.encrypt(secretKey, iv, message.getBytes()));
}

@Override
public String decrypt(String message) {
    return new String(_AesUtils.decrypt(secretKey, iv, Base64.getDecoder().decode(message)));
}

}

密钥加密存储

采用非对称加密方式对密钥进行加密，用公钥加密后的密钥可以直接写在配置文件中
在进行解密的时候先通过内置的私钥解密获取原始加密密钥
注意细节
- 私钥存储的时候可以再进行一次加密
- 私钥可放在META-INF路径下，通过Classloader获取

public class PrivateKeyFinder {
private static final String PRIVATE_KEY_RESOURCE_LOCATION = “META-INF/configuration.crypto.private-key”;
private static final String PUBLIC_KEY_RESOURCE_LOCATION = “META-INF/configuration.crypto.public-key”;
private final byte[] keyInfo = new byte[]{
(byte) 0xD0, (byte) 0x20, (byte) 0xDA, (byte) 0x92, (byte) 0xC8, (byte) 0x0B, (byte) 0x6D, (byte) 0x57,
(byte) 0x48, (byte) 0x7B, (byte) 0x15, (byte) 0x3A, (byte) 0x44, (byte) 0xA0, (byte) 0x98, (byte) 0xC2,
(byte) 0xF1, (byte) 0x6F, (byte) 0xB6, (byte) 0x09, (byte) 0x2F, (byte) 0x6D, (byte) 0x69, (byte) 0xFB,
(byte) 0x2D, (byte) 0x02, (byte) 0x00, (byte) 0xCB, (byte) 0xBE, (byte) 0x48, (byte) 0xDD, (byte) 0xD5,
(byte) 0x90, (byte) 0xC2, (byte) 0x95, (byte) 0x98, (byte) 0x60, (byte) 0x59, (byte) 0x24, (byte) 0xE2,
(byte) 0xB7, (byte) 0x84, (byte) 0x12, (byte) 0x5D, (byte) 0xB9, (byte) 0xC1, (byte) 0x19, (byte) 0xFF,
(byte) 0x4F, (byte) 0x01, (byte) 0xB9, (byte) 0xC5, (byte) 0xD8, (byte) 0xD2, (byte) 0x99, (byte) 0xEE,
(byte) 0xAA, (byte) 0x0D, (byte) 0x59, (byte) 0xF8, (byte) 0x37, (byte) 0x49, (byte) 0x91, (byte) 0xAB
};

static byte[] getSecretKey(String encKey) {
    byte[] key = loadPrivateKey();
    return RsaUtils.decrypt(Base64.getDecoder().decode(encKey), new PrivateKeyFinder().decrypt(Base64.getDecoder().decode(key)));
}

static String generateSecretKey() {
    return Base64.getEncoder().encodeToString(RsaUtils.encrypt(new SecureRandom().generateSeed(16), Base64.getDecoder().decode(loadPublicKey())));
}

static String generateSecretKeyWith256() {
    return Base64.getEncoder().encodeToString(RsaUtils.encrypt(new SecureRandom().generateSeed(32), Base64.getDecoder().decode(loadPublicKey())));
}

@SneakyThrows
static byte[] loadPrivateKey() {
    return loadResource(PRIVATE_KEY_RESOURCE_LOCATION);
}

@SneakyThrows
static byte[] loadPublicKey() {
    return loadResource(PUBLIC_KEY_RESOURCE_LOCATION);
}

@SneakyThrows
private static byte[] loadResource(String location) {
    // just lookup from current jar  path
    ClassLoader classLoader = new URLClassLoader(new URL[]{PrivateKeyFinder.class.getProtectionDomain().getCodeSource().getLocation()}, null);

// classLoader = PrivateKeyFinder.class.getClassLoader();
Enumeration enumeration = classLoader.getResources(location);

    // should only find one
    while (enumeration.hasMoreElements()) {
        URL url = enumeration.nextElement();
        UrlResource resource = new UrlResource(url);
        return FileCopyUtils.copyToByteArray(resource.getInputStream());
    }

    return null;
}

private final String CIPHER_ALGORITHM = "AES/CBC/NoPadding";
private final String KEY_TYPE = "AES";

@SneakyThrows
public byte[] encrypt(byte[] data) {
    byte[] key = new byte[32];
    byte[] iv = new byte[16];
    System.arraycopy(keyInfo, 0, key, 0, 32);
    System.arraycopy(keyInfo, 32, iv, 0, 16);
    Cipher cipher = Cipher.getInstance(CIPHER_ALGORITHM);
    cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(key, KEY_TYPE), new IvParameterSpec(iv));
    return cipher.doFinal(data);
}

@SneakyThrows
public byte[] decrypt(byte[] data) {
    byte[] key = new byte[32];
    byte[] iv = new byte[16];
    System.arraycopy(keyInfo, 0, key, 0, 32);
    System.arraycopy(keyInfo, 32, iv, 0, 16);

    Cipher cipher = Cipher.getInstance(CIPHER_ALGORITHM);
    cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(key, KEY_TYPE), new IvParameterSpec(iv));
    return cipher.doFinal(data);
}

}

综上既可以实现敏感配置文件的加解密，同时可以保障加密密钥的安全传入

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。