springboot中关于密码明文存储于配置文件的漏洞整改方式

桃扇骨 2023-09-25 16:32 27阅读 0赞

#### 问题背景： ####

日常我们开发中 yml 配置文件中应该会存储很多程序用到的变量值，但是涉及到一些关键性的比如密码之类的配置项，就会有很大的安全隐患，一旦源码泄露，那我们的数据库也就不安全了。

![1dc21e2f87ae4e43bc43ca37cb6b1762.png][]

#### 解决方式： ####

我们的解决思路也很简单，那就是涉及敏感信息的内容，给它做一个加密处理，这里我们用现成的加密工具组件叫 jasypt 。

1.  ##### 引入组件依赖 #####

在 pom.xml 中引入依赖 Jar

<dependency>
        <groupId>com.github.ulisesbocchio</groupId>
        <artifactId>jasypt-spring-boot-starter</artifactId>
        <version>3.0.5</version>
    </dependency>

1.  ##### 在application.yml 文件中配置[jasypt][]加密的秘钥 #####

jasypt:
      encryptor:
        password: ILoveFeiGe

1.  ##### 编写生成加密内容的测试代码 #####

这里我是自己写了一个接口 controller

@Slf4j
    @Controller
    @RequestMapping("/test")
    public class TestController {
    
        @Autowired
        private StringEncryptor encryptor;
    
        @RequestMapping(value="jm",method = RequestMethod.POST)
        @ResponseBody
        public ReturnData jm(String content) {
            System.out.println("请求加密,加密内容："+content);
            try {
                String contentJm = encryptor.encrypt(content);
                System.out.println("请求加密,加密后密文："+contentJm);
                return new ReturnData(ReturnCode.SUCCESS.getCode(),contentJm,ReturnCode.SUCCESS.getMessage());
            } catch (Exception e) {
                System.err.println("请求加密异常:"+e);
                return new ReturnData(ReturnCode.SYS_ERROR.getCode(),"请求加密异常");
            }
        }
    
    }

也是为了方便日后再调用此方法。可以看到核心的代码就是注入 StringEncryptor bean 文件，然后执行加密即可。

1.  ##### 上一步生成的加密密文赋值到 yml 文件中替换即可。 #####

![8b811f5904b64bdba00aeae027765f83.png][]

比如，密文：DFSrFEIsKNAPIUMZcHwjq+kCF9UL/3OH9YnaO7R88kTcZuBvdN/s1Rdp3qwnLBwP

配置文件中用ENC()包裹密文参数即可

*注：这里ENC() 的写法是固定的，程序会自动解析执行解密的。*

1.  ##### 上面的方法虽然能解决问题，但是又有新的问题出现了 #####

我们的 [jasypt][] 秘钥还是在配置文件中，还是不安全的。

1.  ##### 把 [jasypt][] 秘钥不存放在 yml 配置文件中，而是启动程序时，指定为启动 Jar 的参数。 #####

*  服务器上启动 Jar 只需要用如下命令即可：

java -jar xxx.jar --jasypt.encryptor.password=ILoveFeiGe

*  那本地运行调试时，也可以指定这个启动参数：

![a7063ed3cbf641649b0a02570600d481.png][]

![a234fba97832448d8493bd776a1dc72b.png][]

这样直接运行即可，也能保证敏感信息不存在于任何文件中。

[1dc21e2f87ae4e43bc43ca37cb6b1762.png]: https://img-blog.csdnimg.cn/img_convert/1dc21e2f87ae4e43bc43ca37cb6b1762.png
[jasypt]: https://so.csdn.net/so/search?q=jasypt&spm=1001.2101.3001.7020
[8b811f5904b64bdba00aeae027765f83.png]: https://img-blog.csdnimg.cn/img_convert/8b811f5904b64bdba00aeae027765f83.png
[a7063ed3cbf641649b0a02570600d481.png]: https://img-blog.csdnimg.cn/img_convert/a7063ed3cbf641649b0a02570600d481.png
[a234fba97832448d8493bd776a1dc72b.png]: https://img-blog.csdnimg.cn/img_convert/a234fba97832448d8493bd776a1dc72b.png