如何在Spring中的屬性文件中存儲加密的密碼

Question

我在Spring框架中非常新，我使用Spring框架來管理我的數據庫連接等等。應用程序從屬性文件中讀取我的db連接參數。我需要的是將我的連接密碼存儲在屬性文件中加密。 這裏是我的數據源XML文件

<?xml version="1.0" encoding="UTF-8"?> 
<beans xmlns="http://www.springframework.org/schema/beans" 
     xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
     xmlns:tx="http://www.springframework.org/schema/tx" 
     xsi:schemaLocation=" 
     http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-2.0.xsd 
     http://www.springframework.org/schema/tx http://www.springframework.org/schema/tx/spring-tx-2.0.xsd"> 

    <bean class="org.springframework.beans.factory.config.PropertyPlaceholderConfigurer"> 
     <property name="location"> 
      <value>file:${DBConfigFile}</value> 
     </property> 
    </bean> 

    <bean id="myDataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource" destroy-method="close"> 
     <property name="driverClass" value="${jdbc.driverClassName}" /> 
     <property name="jdbcUrl" value="${jdbc.url}" /> 
     <property name="user" value="${jdbc.username}" /> 
     <property name="password" value="${jdbc.password}" /> 
     <property name="initialPoolSize"><value>3</value></property> 
     <property name="minPoolSize"><value>3</value></property> 
     <property name="maxPoolSize"><value>50</value></property> 
     <property name="idleConnectionTestPeriod"><value>200</value></property> 
     <property name="acquireIncrement"><value>1</value></property> 
     <property name="maxStatements"><value>0</value></property> 
     <property name="numHelperThreads"><value>3</value></property> 
    </bean> 

</beans> 

我thiking寫加密屬性文件中的密碼，我想知道如果春天可以用一種算法自動解密。配置是否可行？ 預先感謝您。

Answer 1

它沒有任何意義，因爲如果Spring可以解密它，那麼其他人也可以。這種加密不會產生任何影響，它不會保護任何內容。它只給予危險的東西 - 虛假的保護感。

也許你可以使用另一種數據庫認證方式，例如MS SQL服務器允許使用Windows安全性而不是密碼驗證。 Postgres也一樣（它可以通過用戶帳戶或使用SSL證書進行訪問）。

Answer 2

據我知道春天不支持此功能，但其他一些項目可能是有益的：

• Jasypt library提供支持加密的應用程序配置（也與Spring集成）。查看詳情：http://www.jasypt.org/encrypting-configuration.html

• OWASP Project提供EncryptedProperties接口與DefaultEncryptedProperties和ReferenceEncryptedProperties實現可以在應用程序中使用。另請參見：https://www.owasp.org/index.php/How_to_encrypt_a_properties_file

Answer 3

你可以寫你的解密密碼bean，然後注入到任何需要密碼

Answer 4

我使用的彈簧4和jasypt 1.9豆。 Jasypt文檔不提供對spring 4的明確支持。我找不到類EncryptablePropertyPlaceholderConfigurer和org.jasypt:jasypt:1.9.2依賴關係。

我寫了一個簡單的靜態加密實用程序Java類（這使用jasypt API）。

public class EncryptionUtil { 
    static PooledPBEStringEncryptor encryptor = null; 
    static { 
     encryptor = new PooledPBEStringEncryptor(); 
     encryptor.setPoolSize(4); 
     // There are various approaches to pull this configuration via system level properties. 
     encryptor.setPassword("parashar"); 
     encryptor.setAlgorithm("PBEWITHMD5ANDDES"); 
    } 

    public static String encrypt(String input) { 
     return encryptor.encrypt(input); 
    } 

    public static String decrypt(String encryptedMessage) { 
     return encryptor.decrypt(encryptedMessage); 
    } 

} 

我用這個工具來加密我打算保存在我的屬性文件中的密碼。

然後，我簡單地使用spring EL來解密我的spring config xml中的屬性。

<property name="password" value="#{T(amit.parashar.EncryptionUtil).decrypt('${db.password}')}" /> 

編輯： 要回答如何隱藏加密密碼：

Use system args while bringing up your java process. 

用於例如：JAVA -Dwhatismyencpawd = 「parashar」

，並使用它像

encryptor.setPassword(java.lang.System.getProperty("whatismyencpawd")); 

這種方式僅應用程序管理員會知道密碼。通過這種方式，密碼將作爲ps命令的一部分顯示，儘管在UNIX機器上也是如此。

或者您也可以配置和讀取操作系統級別的環境變量。

Answer 5

您可以使用春雲配置提供的encryption and decryption