Spring Boot 怎么对敏感信息进行加解密

在现代的应用程序开发中，保护敏感信息（如密码、API密钥、数据库连接信息等）是至关重要的。Spring Boot 提供了多种方式来处理敏感信息的加解密，本文将详细介绍如何在 Spring Boot 中对敏感信息进行加解密。

1. 为什么需要对敏感信息进行加解密？

在应用程序中，敏感信息通常以明文形式存储在配置文件或数据库中。如果这些信息被泄露，可能会导致严重的安全问题。因此，对敏感信息进行加密存储，并在使用时进行解密，是一种常见的安全措施。

2. Spring Boot 中的加解密方式

Spring Boot 提供了多种方式来处理敏感信息的加解密，主要包括以下几种：

1. 使用 Jasypt 进行加解密
2. 使用 Spring Cloud Config 进行加解密
3. 自定义加解密工具类

接下来，我们将详细介绍这些方法。

3. 使用 Jasypt 进行加解密

Jasypt（Java Simplified Encryption）是一个流行的 Java 加密库，它提供了简单易用的 API 来进行加解密操作。Spring Boot 可以很方便地集成 Jasypt 来对敏感信息进行加解密。

3.1 添加依赖

首先，在 pom.xml 中添加 Jasypt 的依赖：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.4</version>
</dependency>

3.2 配置加密密钥

在 application.properties 或 application.yml 中配置加密密钥：

jasypt.encryptor.password=mySecretKey

3.3 加密敏感信息

使用 Jasypt 提供的命令行工具或 Java 代码来加密敏感信息。例如，使用命令行工具加密：

java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input="myPassword" password=mySecretKey algorithm=PBEWithMD5AndDES

加密后的结果类似于：

ENC(加密后的字符串)

3.4 在配置文件中使用加密信息

将加密后的字符串放入配置文件中，并使用 ENC() 包裹：

spring.datasource.password=ENC(加密后的字符串)

3.5 自动解密

Spring Boot 会自动解密配置文件中使用 ENC() 包裹的加密信息，并在应用程序中使用解密后的值。

4. 使用 Spring Cloud Config 进行加解密

Spring Cloud Config 提供了集中化的配置管理，并且支持对敏感信息进行加密存储。通过 Spring Cloud Config，可以将加密后的配置信息存储在 Git 或其他存储库中，并在应用程序启动时自动解密。

4.1 添加依赖

在 pom.xml 中添加 Spring Cloud Config 的依赖：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-config-server</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-config</artifactId>
</dependency>

4.2 配置加密密钥

在 application.properties 或 application.yml 中配置加密密钥：

encrypt.key=mySecretKey

4.3 加密敏感信息

使用 Spring Cloud Config 提供的 /encrypt 端点来加密敏感信息。例如，使用 curl 命令加密：

curl -X POST --data-urlencode "myPassword" http://localhost:8888/encrypt

加密后的结果类似于：

加密后的字符串

4.4 在配置文件中使用加密信息

将加密后的字符串放入配置文件中，并使用 {cipher} 包裹：

spring.datasource.password={cipher}加密后的字符串

4.5 自动解密

Spring Cloud Config 会自动解密配置文件中使用 {cipher} 包裹的加密信息，并在应用程序中使用解密后的值。

5. 自定义加解密工具类

如果不想依赖第三方库，也可以自定义加解密工具类来处理敏感信息的加解密。以下是一个简单的示例：

5.1 创建加解密工具类

import javax.crypto.Cipher;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;

public class EncryptionUtil {

    private static final String ALGORITHM = "AES";
    private static final String KEY = "mySecretKey12345"; // 16字符的密钥

    public static String encrypt(String value) throws Exception {
        SecretKeySpec keySpec = new SecretKeySpec(KEY.getBytes(), ALGORITHM);
        Cipher cipher = Cipher.getInstance(ALGORITHM);
        cipher.init(Cipher.ENCRYPT_MODE, keySpec);
        byte[] encryptedValue = cipher.doFinal(value.getBytes());
        return Base64.getEncoder().encodeToString(encryptedValue);
    }

    public static String decrypt(String encryptedValue) throws Exception {
        SecretKeySpec keySpec = new SecretKeySpec(KEY.getBytes(), ALGORITHM);
        Cipher cipher = Cipher.getInstance(ALGORITHM);
        cipher.init(Cipher.DECRYPT_MODE, keySpec);
        byte[] decryptedValue = cipher.doFinal(Base64.getDecoder().decode(encryptedValue));
        return new String(decryptedValue);
    }
}

5.2 使用加解密工具类

在应用程序中使用自定义的加解密工具类来加密和解密敏感信息：

public class Application {

    public static void main(String[] args) throws Exception {
        String originalPassword = "myPassword";
        String encryptedPassword = EncryptionUtil.encrypt(originalPassword);
        System.out.println("Encrypted Password: " + encryptedPassword);

        String decryptedPassword = EncryptionUtil.decrypt(encryptedPassword);
        System.out.println("Decrypted Password: " + decryptedPassword);
    }
}

5.3 在配置文件中使用加密信息

可以将加密后的字符串放入配置文件中，并在应用程序启动时手动解密：

spring.datasource.password=加密后的字符串

在应用程序中读取配置并解密：

@Value("${spring.datasource.password}")
private String encryptedPassword;

public void someMethod() throws Exception {
    String decryptedPassword = EncryptionUtil.decrypt(encryptedPassword);
    // 使用解密后的密码
}

6. 总结

在 Spring Boot 中，对敏感信息进行加解密是保护应用程序安全的重要措施。本文介绍了三种常见的加解密方式：使用 Jasypt、使用 Spring Cloud Config 以及自定义加解密工具类。每种方式都有其适用的场景，开发者可以根据实际需求选择合适的方式。

无论选择哪种方式，都需要注意以下几点：

1. 密钥管理：加密密钥的安全性至关重要，必须妥善保管，避免泄露。
2. 加密算法：选择安全可靠的加密算法，避免使用弱加密算法。
3. 配置文件安全：即使敏感信息已经加密，配置文件的访问权限也应严格控制，避免未经授权的访问。

通过合理使用加解密技术，可以有效保护应用程序中的敏感信息，提升整体安全性。