SpringBoot jasypt 实现配置文件加密

Jasypt(Java Simplified Encryption)，一个用于加密的Java类库，目的就是让开发者很简便的将加密功能引入自己的项目中来，而不需要去明白具体的加密知识。

步骤

1.pom文件引入依赖。
2.yml添加加密配置。
3.使用jasyptUtil生成密文。
4.使用密文替换明文。
5.部署时配置salt。

代码

maven依赖

<!-- jasypt 配置文件加密-->
<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.3</version>
</dependency>

yml配置

# jasypt 加密配置
jasypt:
  encryptor:
    # 盐值
    password: ez3.y81I5*D83jYFx
    # 加密方式
    algorithm: PBEWithMD5AndDES
    iv-generator-classname: org.jasypt.iv.NoIvGenerator

jasyptUtil

package com.example.util;

import org.jasypt.encryption.pbe.PooledPBEStringEncryptor;
import org.jasypt.encryption.pbe.config.SimpleStringPBEConfig;

/**
 * description: jasypt util
 * date: 2023/1/5 17:01
 * author: LenonJin
 */
public class JasyptUtil {

    /**
     * description: 加密
     *
     * @param password 加密盐值
     * @param value    待加密密文
     * @return java.lang.String
     */
    public static String encyptPwd(String password, String value) {


        PooledPBEStringEncryptor encryptor = new PooledPBEStringEncryptor();
        encryptor.setConfig(getEncryptor(password));
        String result = encryptor.encrypt(value);
        return result;
    }

    /**
     * description: 解密
     *
     * @param password 加密盐值
     * @param value    待解密密文
     * @return java.lang.String
     */
    public static String decyptPwd(String password, String value) {
        PooledPBEStringEncryptor encryptor = new PooledPBEStringEncryptor();
        encryptor.setConfig(getEncryptor(password));
        String result = encryptor.decrypt(value);
        return result;
    }

    public static SimpleStringPBEConfig getEncryptor(String password) {
        SimpleStringPBEConfig config = new SimpleStringPBEConfig();
        config.setPassword(password);
        config.setAlgorithm("PBEWithMD5AndDES");
        config.setKeyObtentionIterations("1000");
        config.setPoolSize("1");
        config.setProviderName("SunJCE");
        config.setSaltGeneratorClassName("org.jasypt.salt.RandomSaltGenerator");
        config.setStringOutputType("base64");
        return config;
    }


    public static void main(String[] args) {
        // 加密
        String encPwd = encyptPwd("ez3.y81I5*D83jYFx", "123456");
        // 解密
        String decPwd = decyptPwd("ez3.y81I5*D83jYFx", encPwd);
        System.out.println(encPwd);
        System.out.println(decPwd);
    }
}

密文替换

在配置文件application.yml相关位置把明文替换成密文，用ENC()包裹：

spring:
  datasource:
    driver-class-name: com.mysql.cj.jdbc.Driver
    url: jdbc:mysql://127.0.0.1:3306/mydb
    username: root
    password: ENC(/fHj9FWHv/gIRHeDiSngtg==)

部署时配置salt

部署项目时，为了防止salt(盐)泄露，salt不应该放到yml文件中，可以通过启动参数 -Djasypt.encryptor.password=**来启动Jar包。

java -Djasypt.encryptor.password=ez3.y81I5*D83jYFx -jar example.jar

拓展

通过在服务器的环境变量里配置salt以进一步提高安全性，防止salt(盐)泄露。

打开/etc/profile文件

vim /etc/profile

在profile文件末尾插入salt(盐)变量

export JASYPT_SALT= ez3.y81I5*D83jYFx

编译，使配置文件生效

source /etc/profile

启动Jar包

java -Djasypt.encryptor.password=${JASYPT_SALT} -jar example.jar