背景
現(xiàn)在的開發(fā)習(xí)慣吓笙，無(wú)論是公司的項(xiàng)目還是個(gè)人的項(xiàng)目，都會(huì)選擇將源碼上傳到 Git 服務(wù)器（GitHub奢浑、Gitee 或是自建服務(wù)器）饮焦，但只要將源碼提交到公網(wǎng)服務(wù)器就會(huì)存在源碼泄漏的風(fēng)險(xiǎn)，而數(shù)據(jù)庫(kù)配置信息作為源碼的一部分拒垃，一旦出現(xiàn)源碼泄漏停撞，那么數(shù)據(jù)庫(kù)中的所有數(shù)據(jù)都會(huì)公之于眾，其產(chǎn)生的不良后果無(wú)法預(yù)期（比如某某酒店的信息）
于是為了避免這種問題的產(chǎn)生悼瓮，我們至少要對(duì)數(shù)據(jù)庫(kù)的密碼進(jìn)行加密操作戈毒，這樣即使得到了源碼，也不會(huì)造成數(shù)據(jù)的泄露横堡，也算保住了最后一塊遮羞布
如何加密
對(duì)于 Java 項(xiàng)目來(lái)說埋市，要想快速實(shí)現(xiàn)數(shù)據(jù)庫(kù)的加密，最簡(jiǎn)單可行的方案就是使用阿里巴巴提供的 Druid 來(lái)實(shí)現(xiàn)加密
什么是Druid
Druid（中文譯為“德魯伊”）是阿里巴巴開源的一款 Java 語(yǔ)言中最好的數(shù)據(jù)庫(kù)連接池
Druid 提供了強(qiáng)大的監(jiān)控和擴(kuò)展功能命贴，當(dāng)然也包含了數(shù)據(jù)庫(kù)的加密功能
功能
- Druid 可以監(jiān)控?cái)?shù)據(jù)庫(kù)訪問性能道宅，Druid 內(nèi)置提供了一個(gè)功能強(qiáng)大的 StatFilter 插件，能夠詳細(xì)統(tǒng)計(jì) SQL 的執(zhí)行性能胸蛛，這對(duì)于線上分析數(shù)據(jù)庫(kù)訪問性能有幫助
- 替換數(shù)據(jù)庫(kù)連接池 DBCP 和 C3P0污茵，Druid 提供了一個(gè)高效、功能強(qiáng)大葬项、可擴(kuò)展性好的數(shù)據(jù)庫(kù)連接池
- 數(shù)據(jù)庫(kù)密碼加密泞当，直接把數(shù)據(jù)庫(kù)密碼寫在配置文件中，這是不好的行為玷室，容易導(dǎo)致安全問題零蓉。DruidDriver 和 DruidDataSource 都支持 PasswordCallback
- SQL 執(zhí)行日志，Druid 提供了不同的 LogFilter穷缤，能夠支持 Common-Logging敌蜂、Log4j 和 JDKLog，你可以按需要選擇相應(yīng)的 LogFilter津肛，監(jiān)控你應(yīng)用的數(shù)據(jù)庫(kù)訪問情況
- 擴(kuò)展 JDBC章喉，如果你要對(duì) JDBC 層有編程的需求，可以通過 Druid 提供的 Filter-Chain 機(jī)制，很方便編寫 JDBC 層的擴(kuò)展插件
加密執(zhí)行流程
在沒有進(jìn)行密碼加密之前秸脱，項(xiàng)目的交互流程是這樣的：
在使用了密碼加密之后落包，項(xiàng)目的交互流程就變成了這樣：
使用Druid實(shí)現(xiàn)加密
- 添加Druid依賴
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>druid-spring-boot-starter</artifactId>
<version>1.2.5</version>
</dependency>
- 生成密文
Druid 添加完成之后就可以借助 Druid 中提供的 ConfigTools 類來(lái)加密密碼了，實(shí)現(xiàn)代碼如下：
import com.alibaba.druid.filter.config.ConfigTools;
class MyTests {
public static void main(String[] args) throws Exception {
// 需要加密的明文命名
String password = "youPassword"; // 【注意：這里要改為你自己的密碼】
// 調(diào)用 druid 生成私鑰摊唇、公鑰咐蝇、密文
ConfigTools.main(new String[]{password});
}
}
以上代碼執(zhí)行的結(jié)果如下：
privateKey:MIIBUwIBADANBgkqhkiG9w0BAQEFAASCAT0wggE5AgEAAkEApOjcMWSDzJiKVGmtcBBoQPtM9tVW2H2cnS6xZK7NrbzQXYWLQD2zefIrrx9vMvqRIHEqkmAHTuUcUXHgCxu0cwIDAQABAkAlqo5ItdWo0Jqf5zdXJlg5p2yP4HCiqCYyfKzF+2s9KEmgWZJWTctZDsgQ0iYUohORR59I+J4nabhel1x5/INpAiEA6jwSyFqMUPOh1XlrzNFek+RthOQ5n4+ALPo+vULayO0CIQC0O7JM9sIq+tg+jCGv+ypk6vbuRKY9m5W2rSRXapGm3wIgRHul3jAjIDPrF/f1HaAFL+Y0Yws7Ebyp8/yCRWF7iA0CIALbe20q8FMcHPeI4zPWCIsHCpkmb3hEkjAOOKhGIT8DAiAqiUuz92NqKeyjmOfons1ka65EzVwA3NDhZ6+IQcnuig== publicKey:MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAKTo3DFkg8yYilRprXAQaED7TPbVVth9nJ0usWSuza280F2Fi0A9s3nyK68fbzL6kSBxKpJgB07lHFFx4AsbtHMCAwEAAQ== password:IMgKm27bOHok3/+5aDL4jGBoVVZkpicbbM6pIXQppi3dI7h3jngSAqhqwqYnfuYpyVJ0k++q9xWWnHtd6sAWnQ==
從上述結(jié)果可以看出，使用 ConfigTools 類會(huì)生成 3 部分的內(nèi)容：
- privateKey：私鑰巷查，暫時(shí)不會(huì)用到有序，用于密碼的加密；
- publicKey：公鑰岛请，用于密碼的解密旭寿；
- password：加密之后的密碼。
- 添加配置
完成了以上操作之后崇败，只需要將上一步生成的公鑰和密文添加到項(xiàng)目的配置文件 application.yml（或application.xml）中就實(shí)現(xiàn)了加密操作了盅称，具體配置信息如下：
spring:
# MySQL 配置
datasource:
driver-class-name: com.mysql.cj.jdbc.Driver
type: com.alibaba.druid.pool.DruidDataSource
druid:
url: jdbc:mysql://127.0.0.1:3306/testdb?serverTimezone=Asia/Shanghai&characterEncoding=UTF-8&useSSL=false
username: root
password: IMgKm27bOHok3/+5aDL4jGBoVVZkpicbbM6pIXQppi3dI7h3jngSAqhqwqYnfuYpyVJ0k++q9xWWnHtd6sAWnQ==
# encrypt config
filters: config
connect-properties:
config.decrypt: true
config.decrypt.key: MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAKTo3DFkg8yYilRprXAQaED7TPbVVth9nJ0usWSuza280F2Fi0A9s3nyK68fbzL6kSBxKpJgB07lHFFx4AsbtHMCAwEAAQ==
其中 password 對(duì)應(yīng)的是上一步生成的 password（密文），而 config.decrypt.key 對(duì)應(yīng)的是上一步生成的 publicKey（公鑰）后室，如下圖所示：
這里提供一個(gè)原始的配置文件缩膝，以便和加密后的配置文件進(jìn)行比對(duì)：
- 注意事項(xiàng)-插著鑰匙的鎖
經(jīng)過前面 3 步的配置之后，我們的程序就可以正常運(yùn)行了咧擂，但這遠(yuǎn)沒有結(jié)束逞盆！
在第 3 步配置時(shí)，我們將密文和公鑰都寫入配置文件松申，這就會(huì)造成當(dāng)有人拿到密文和公鑰之后，就可以使用 Druid 將加密的密碼還原出來(lái)了俯逾，這就好比一把插著鑰匙的鎖是極不安全的
因此我們正確的使用姿勢(shì)：是將公鑰找一個(gè)安全的地方保存起來(lái)贸桶，每次在項(xiàng)目啟動(dòng)時(shí)動(dòng)態(tài)的將公鑰設(shè)置到項(xiàng)目中，這樣就可以有效的保證密碼的安全了
正確的配置文件
spring:
# MySQL 配置
datasource:
driver-class-name: com.mysql.cj.jdbc.Driver
type: com.alibaba.druid.pool.DruidDataSource
druid:
url: jdbc:mysql://127.0.0.1:3306/testdb?serverTimezone=Asia/Shanghai&characterEncoding=UTF-8&useSSL=false
username: root
password: IMgKm27bOHok3/+5aDL4jGBoVVZkpicbbM6pIXQppi3dI7h3jngSAqhqwqYnfuYpyVJ0k++q9xWWnHtd6sAWnQ==
# encrypt config
filters: config
connect-properties:
config.decrypt: true
config.decrypt.key: ${spring.datasource.druid.publickey}
可以看出公鑰被修改成“${spring.datasource.druid.publickey}”了桌肴，這就相當(dāng)于使用占位符先把坑給占上皇筛，等項(xiàng)目啟動(dòng)時(shí)再更換上具體的值
PS：“spring.datasource.druid.publickey”并非是固定不可變的 key，此 key 值用戶可自行定義
開發(fā)環(huán)境替換公鑰
開發(fā)環(huán)境只需要在 Idea 的啟動(dòng)參數(shù)中配置公鑰的值即可坠七，如下圖所示：
當(dāng)我們輸入正確的公鑰值時(shí)程序可以正常運(yùn)行水醋，當(dāng)輸入一個(gè)錯(cuò)誤的公鑰值時(shí)就會(huì)提示解碼失敗，如下圖所示：
生產(chǎn)環(huán)境替換公鑰
生產(chǎn)環(huán)境在啟動(dòng) jar 包時(shí)只需要?jiǎng)討B(tài)設(shè)置公鑰的值即可彪置，參考以下命令：
java -jar xxx.jar --spring.datasource.druid.publickey=你的公鑰
