前言

在數(shù)字化時代背景下，互聯(lián)網(wǎng)滲透生活的方方面面，同時也帶來了日益嚴峻的安全挑戰(zhàn)。曾有知名企業(yè)工程師因?qū)⒐竞诵拇a上傳至開源平臺導(dǎo)致公司損失慘重，受到法律制裁。這一事件暴露出企業(yè)對代碼與配置信息保護的薄弱環(huán)節(jié)。

企業(yè)核心系統(tǒng)通常會在配置文件中存儲數(shù)據(jù)庫連接信息、第三方接口秘鑰等敏感數(shù)據(jù)。如果以明文存在，一旦泄露，極易被惡意利用，造成嚴重經(jīng)濟和信譽損失。尤其是中小企業(yè)，在安全合規(guī)方面常存在疏漏，敏感信息暴露風(fēng)險更大。

因此，采用有效的敏感信息加密手段不僅是保護知識產(chǎn)權(quán)和業(yè)務(wù)安全的必要舉措，也符合行業(yè)安全規(guī)范和合規(guī)要求，能有效降低因信息泄露帶來的安全風(fēng)險。

哪些類型的敏感信息必須加密

• 數(shù)據(jù)庫用戶名和密碼
• 緩存、消息隊列等服務(wù)的認證信息
• 第三方服務(wù)的 Access Key、Secret Key
• 其他涉及系統(tǒng)間安全通信的憑證信息

以上信息若在配置文件中以明文形式存在，易成為攻擊目標，因此必須采取加密手段保護。

敏感信息加密的核心價值

• 防止泄漏風(fēng)險放大：即使代碼或配置文件泄露，密文因無法被直接識別，降低信息被直接利用的風(fēng)險。
• 符合安全合規(guī)機制要求：很多安全評審流程要求敏感信息不得以明文暴露，加密處理是審核通過前提。
• 提升開發(fā)者安全意識：引導(dǎo)整個團隊對安全問題保持高度警惕，減少人為失誤造成的安全隱患。

選擇 Jasypt 作為加密解決方案的理由

Jasypt（Java Simplified Encryption）是一個簡潔、功能強大的Java加密庫。其設(shè)計宗旨在于：

• 開發(fā)者無需深入密碼學(xué)細節(jié)即可輕松實現(xiàn)數(shù)據(jù)加解密
• 兼具開箱即用的 Spring Boot 集成支持
• 支持多種加密算法和配置選項
• 簡化配置文件中敏感配置的加密解密流程

Jasypt 官網(wǎng)項目地址：www.jasypt.org/

Spring Boot 集成 Jasypt 的多種方式

通用集成（基于自動配置）

針對絕大多數(shù) Spring Boot 項目，可以直接引入 jasypt-spring-boot-starter 依賴，無需額外配置，自動完成環(huán)境整合。支持對配置文件中帶有特定前后綴的密文自動解密。

<dependency>
  <groupId>com.github.ulisesbocchio</groupId>
  <artifactId>jasypt-spring-boot-starter</artifactId>
  <version>3.0.4</version>
</dependency>

無自動配置環(huán)境下啟用加密屬性

如果項目未使用 @SpringBootApplication 或 @EnableAutoConfiguration，需要：

• 引入 jasypt-spring-boot 依賴（非starter）
• 在配置類添加注解 @EnableEncryptableProperties

@Configuration
@EnableEncryptableProperties
public class JasyptConfig {
  // 其他配置
}

對指定配置文件啟用加密支持

無需在整個 Spring 環(huán)境開啟加密屬性的情況下，可以指定應(yīng)用哪些配置文件支持加解密：

@Configuration
@EncryptablePropertySource("classpath:encrypted.properties")
public class JasyptConfig {
}

對于多配置文件支持：

@Configuration
@EncryptablePropertySources({
    @EncryptablePropertySource("classpath:encrypted1.properties"),
    @EncryptablePropertySource("classpath:encrypted2.properties")
})
public class JasyptConfig {
}

Jasypt 1.8 版本以后也支持 YAML 配置文件。

實戰(zhàn)演練：Spring Boot 項目中 Jasypt 集成示例

引入依賴

采用自動配置方式，pom中添加：

<dependency>
  <groupId>com.github.ulisesbocchio</groupId>
  <artifactId>jasypt-spring-boot-starter</artifactId>
  <version>3.0.4</version>
</dependency>

配置 Jasypt 加密參數(shù)

在 application.yml 中添加如下配置信息：

jasypt:
  encryptor:
    algorithm: PBEWithMD5AndDES
    iv-generator-classname: org.jasypt.iv.NoIvGenerator
    property:
      prefix: IT(
      suffix: )

這里指定了加密算法為經(jīng)典的 PBEWithMD5AndDES，同時定義了加密數(shù)據(jù)的前后綴，方便 Jasypt 自動識別哪些配置需要解密。

將敏感信息加密替換到配置文件中

例如，將數(shù)據(jù)庫賬號密碼替換為密文格式：

spring:
  datasource:
    url: jdbc:mysql://localhost:3306/user2?useUnicode=true&characterEncoding=utf-8&useSSL=true&serverTimezone=Asia/Shanghai
    username: IT(MIJueAfnYWsKa2kiR8Qrrw==)
    password: IT(qH9m5vjj8RYULOASKdhlOw==)

注意：加密內(nèi)容必須以配置的前綴 IT( 開始，后綴 ) 結(jié)束。

生成密文的多種方案

方案一：使用代碼方式加密

示例代碼：

public class JasyptEncryptUtils {

    private static final String ALGORITHM = "PBEWithMD5AndDES";
    private static final String PASSWORD = "PEB123@321BEP";

    public static String encrypt(String plaintext) {
        StandardPBEStringEncryptor encryptor = new StandardPBEStringEncryptor();
        EnvironmentStringPBEConfig config = new EnvironmentStringPBEConfig();

        config.setAlgorithm(ALGORITHM);
        config.setPassword(PASSWORD);
        encryptor.setConfig(config);

        return encryptor.encrypt(plaintext);
    }

    public static String decrypt(String ciphertext) {
        StandardPBEStringEncryptor encryptor = new StandardPBEStringEncryptor();
        EnvironmentStringPBEConfig config = new EnvironmentStringPBEConfig();

        config.setAlgorithm(ALGORITHM);
        config.setPassword(PASSWORD);
        encryptor.setConfig(config);

        return encryptor.decrypt(ciphertext);
    }

    public static void main(String[] args) {
        System.out.println(encrypt("root"));
        System.out.println(encrypt("123456"));
    }
}

方案二：利用命令行工具加密

在 jasypt-1.9.3.jar 包路徑下執(zhí)行：

加密命令：

java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input='root' password=PEB123@321BEP algorithm=PBEWithMD5AndDES

解密命令：

java -cp jasypt-1.9.3.jar org.jasypt.intf.cli.JasyptPBEStringDecryptionCLI input='密文內(nèi)容' password=PEB123@321BEP algorithm=PBEWithMD5AndDES

方案三：通過 Maven 插件加密

pom 中添加插件：

<plugin>
  <groupId>com.github.ulisesbocchio</groupId>
  <artifactId>jasypt-maven-plugin</artifactId>
  <version>3.0.4</version>
</plugin>

執(zhí)行加密：

mvn jasypt:encrypt-value -Djasypt.encryptor.password="PEB123@321BEP" -Djasypt.plugin.value="需要加密的內(nèi)容"

啟動參數(shù)設(shè)置秘鑰，確保安全

秘鑰不應(yīng)硬編碼或保存在配置文件中，應(yīng)通過以下方式傳遞：

• 作為 Java 啟動參數(shù)：

java -jar app.jar --jasypt.encryptor.password=PEB123@321BEP

• 或作為 JVM 參數(shù)：

java -Djasypt.encryptor.password=PEB123@321BEP -jar app.jar

避免秘鑰暴露才是真正保障系統(tǒng)安全的關(guān)鍵。

常見問題及解決策略

算法兼容性引發(fā)的啟動錯誤

Jasypt 3.x 版本默認加密算法為 PBEWITHHMACSHA512ANDAES_256，此算法要求 JDK 9+ 或安裝 JCE 無限制策略文件支持，低版本 JDK 或未安裝會導(dǎo)致綁定參數(shù)失敗。

解決方案：

• 降低算法版本，切換為 PBEWithMD5AndDES
• 指定無 IV 生成器：

jasypt:
  encryptor:
    algorithm: PBEWithMD5AndDES
    iv-generator-classname: org.jasypt.iv.NoIvGenerator

• 或者降級 Jasypt 版本到 2.x

如何保證秘鑰安全

• 切勿將秘鑰以明文形式存儲在代碼或配置中
• 通過外部傳參方式加載秘鑰
• 如有更高安全需求，可自定義加密器邏輯或結(jié)合硬件安全模塊（HSM）

防止敏感信息誤上傳 Git 的多重手段

• 規(guī)范代碼提交流程和權(quán)限控制，減少因誤操作泄露風(fēng)險
• 使用 .gitignore 文件忽略敏感配置文件，避免被跟蹤提交
• 利用敏感信息檢測工具（如 git-secrets）對提交進行掃描，阻止敏感數(shù)據(jù)提交
• 嚴格 Code Review 流程，團隊互相監(jiān)督發(fā)現(xiàn)潛在風(fēng)險

這些手段結(jié)合加密技術(shù)，形成信息安全多道防線。

技術(shù)與法律的思考：代碼歸屬權(quán)問題

近期發(fā)生的 Nginx 創(chuàng)始人被其前東家質(zhì)疑代碼歸屬事件，激發(fā)行業(yè)對程序員勞動成果歸屬的廣泛討論：

• 通常在職期間的開發(fā)屬于公司資產(chǎn)
• 但開源精神與個人貢獻之間需達成平衡與共識
• 合同、企業(yè)制度、法律法規(guī)均需明確界定權(quán)責(zé)

這一復(fù)雜議題值得團隊和企業(yè)深入思考，既要尊重知識產(chǎn)權(quán)，也要保護開發(fā)者權(quán)益。

結(jié)語

安全不僅是一段代碼的加密，更是技術(shù)人員責(zé)任心的體現(xiàn)。Jasypt 為 Spring Boot 項目提供了簡單易用的敏感信息加密方案，配合完善的秘鑰管理和流程管控，可大幅提升系統(tǒng)安全等級。作為開發(fā)者，應(yīng)始終將安全納入日常開發(fā)習(xí)慣，筑牢業(yè)務(wù)護城河，防止數(shù)據(jù)泄露風(fēng)險。

以上就是SpringBoot集成Jasypt實現(xiàn)敏感信息加密保護功能的詳細內(nèi)容，更多關(guān)于SpringBoot Jasypt敏感信息加密的資料請關(guān)注腳本之家其它相關(guān)文章！

最新評論