Springboot集成Proguard生成混淆jar包方式
背景
當(dāng)我們需要將 JAR 包交付給第三方時(shí),常常擔(dān)心代碼可能會(huì)被反編譯。因此,對(duì) JAR 包進(jìn)行混淆處理顯得尤為重要。
市面上有許多 JAR 包源碼混淆工具,但真正能穩(wěn)定投入使用的并不多。例如,ClassFinal (ClassFinal: Java字節(jié)碼加密工具)`是國(guó)內(nèi)開(kāi)發(fā)者開(kāi)發(fā)的一款 JAR 包加密工具,它采用的是字節(jié)碼加密的方案。然而,ClassFinal (ClassFinal: Java字節(jié)碼加密工具)已經(jīng)停止維護(hù)多年,并且它的使用需要額外提供一個(gè)加密包來(lái)解密,這種方式雖然注重安全性,但增加了使用的復(fù)雜性。由于 JVM 的跨平臺(tái)特性,理想的工具應(yīng)該是簡(jiǎn)潔、易于使用的,而不是增加額外的“掛件”來(lái)進(jìn)行保護(hù)。
另一款常用的工具是 ProGuard(GitHub - Guardsquare/proguard: ProGuard, Java optimizer and obfuscator),它是一款開(kāi)源的 Java 代碼混淆工具。準(zhǔn)確來(lái)說(shuō)是一個(gè)插件,不需要對(duì)他進(jìn)行編碼,只需要進(jìn)行配置即可。代碼混淆,并不是把所有代碼進(jìn)行混淆,這樣反而會(huì)出錯(cuò),比如枚舉類型如果也進(jìn)行混淆,那么在使用反射創(chuàng)建實(shí)例,并給實(shí)例賦值的時(shí)候,枚舉類型會(huì)反序列化失敗。ProGuard 的主要功能是在不影響程序功能的前提下,混淆 JAR 包內(nèi)的源碼,通過(guò)增加代碼的混亂程度,使得反編譯后的代碼可讀性大大降低,從而有效地提高了代碼的安全性。對(duì)于第三方來(lái)說(shuō),反編譯后的代碼難以理解,與其花費(fèi)大量時(shí)間研究,可能更傾向于重新開(kāi)發(fā)實(shí)現(xiàn)。因此,從這個(gè)角度來(lái)看,ProGuard 確實(shí)可以滿足一定的代碼安全性需求。proguard提供了可以對(duì)哪些包,類,方法等不進(jìn)行混淆的配置,我們可以將枚舉配置在這里。
然而,需要注意的是,ProGuard 是一款通用的 Java 代碼混淆工具,并非針對(duì) Spring 框架的專用工具。因此,它對(duì) Spring 相關(guān)的注解并沒(méi)有特殊的處理。這意味著在使用 ProGuard 混淆 Spring Boot 應(yīng)用時(shí),開(kāi)發(fā)者可能需要進(jìn)行額外的配置和定制,這對(duì)不熟悉該工具的開(kāi)發(fā)者來(lái)說(shuō)增加了使用難度和成本。
實(shí)現(xiàn)流程
springboot提供了打包插件spring-boot-maven-plugin,所以我們的混淆需要在springboot打包的插件之前,就是我們要對(duì)混淆之后的代碼通過(guò)spring-boot-maven-plugin進(jìn)行打包。
Proguard核心內(nèi)容是兩個(gè)配置文件,一個(gè)pom.xml、一個(gè)proguard.cfg,這里提供最關(guān)鍵的兩個(gè)能夠直接使用的配置文件內(nèi)容,其余的配置相關(guān)描述可以通過(guò)文末的參考文獻(xiàn)獲取。
- proguard.cfg配置示例
# 指定不警告尚未解決的引用和其他問(wèn)題
-dontwarn
#指定Java的版本
-target 1.8
#proguard會(huì)對(duì)代碼進(jìn)行優(yōu)化壓縮,他會(huì)刪除從未使用的類或者類成員變量等(刪除注釋、未被引用代碼)
-dontshrink
#是否關(guān)閉字節(jié)碼級(jí)別的優(yōu)化,如果不開(kāi)啟則設(shè)置如下配置 不做優(yōu)化(變更代碼實(shí)現(xiàn)邏輯)
-dontoptimize
#混淆時(shí)不生成大小寫混合的類名,默認(rèn)是可以大小寫混合
-dontusemixedcaseclassnames
# 不去忽略非公共的庫(kù)類
-dontskipnonpubliclibraryclasses
# 指定不跳過(guò)包可見(jiàn)的庫(kù)類成員(字段和方法)。
# 默認(rèn)情況下,proguard在解析庫(kù)類時(shí)會(huì)跳過(guò)包可見(jiàn)的庫(kù)類成員。當(dāng)我們確實(shí)引用了包可見(jiàn)的類成員時(shí),需要設(shè)置此項(xiàng)
-dontskipnonpubliclibraryclassmembers
# 對(duì)于類成員的命名的混淆采取唯一策略
-useuniqueclassmembernames
# 優(yōu)化時(shí)允許訪問(wèn)并修改有修飾符的類和類的成員
-allowaccessmodificatio
# 不混淆所有包名
#-keeppackagename
#混淆類名之后,對(duì)使用Class.forName('className')之類的地方進(jìn)行相應(yīng)替代
-adaptclassstrings
#保持目錄結(jié)構(gòu)
-keepdirectories
#對(duì)異常、注解信息予以保留
-keepattributes Exceptions,InnerClasses,Signature,Deprecated,SourceFile,LineNumberTable,*Annotation*,EnclosingMethod,Qualifier
# 此選項(xiàng)將保存接口中的所有原始名稱(不混淆)-->
#-keepnames interface ** { *; }
#混淆時(shí)是否記錄日志
#-verbose
# 此選項(xiàng)將保存所有軟件包中的所有原始接口文件(不進(jìn)行混淆)
#-keep interface * extends * { *; }
#保留參數(shù)名,因?yàn)榭刂破?,或者M(jìn)ybatis等接口的參數(shù)如果混淆會(huì)導(dǎo)致無(wú)法接受參數(shù),xml文件找不到參數(shù)
-keepparameternames
# 保留枚舉成員及方法
#-keepclassmembers enum * { *; }
# 不混淆所有類,保存原始定義的注釋-
-keepclassmembers class * {
@org.springframework.context.annotation.Bean *;
@org.springframework.context.annotation.Bean *;
@org.springframework.beans.factory.annotation.Autowired *;
@org.springframework.beans.factory.annotation.Value *;
@org.springframework.stereotype.Service *;
@org.springframework.stereotype.Component *;
@org.springframework.transaction.annotation.ProxyTransactionManagementConfiguration *;
@org.springframework.boot.context.properties.ConfigurationProperties *;
@org.springframework.web.bind.annotation.RestController *;
@org.springframework.beans.factory.annotation.Qualifier *;
@io.swagger.annotations.ApiParam *;
@org.springframework.validation.annotation.Validated *;
@io.swagger.annotations.ApiModelProperty *;
@javax.validation.constraints.NotNull *;
@javax.validation.constraints.Size *;
@javax.validation.constraints.NotBlank *;
@javax.validation.constraints.Pattern *;
}
-keep class org.springframework.** {*;}
-keep public class ch.qos.logback.**{*;}
-keep class com.fasterxml.jackson.** { *; }
#忽略warn消息
-ignorewarnings
#打印配置信息
-printconfiguration
#入口程序類不能混淆,混淆會(huì)導(dǎo)致springboot啟動(dòng)不了
-keep public class com.zhubayi.proguarddemo.ProguardDemoApplication { *;}
#mybatis的mapper/實(shí)體類不混淆,否則會(huì)導(dǎo)致xml配置的mapper找不到 ( 保持該目錄下所有類及其成員不被混淆)
#-keep class com.zhubayi.proguarddemo.mapper.** {*;}
# 實(shí)體類,枚舉方法不能混淆
#-keep class com.zhubayi.proguarddemo.enums.** {*;}
-keep class com.zhubayi.proguarddemo.entity.** {*;}
#controller不進(jìn)行混淆
-keep class com.zhubayi.proguarddemo.controller.** {*;}
# 保留特定框架或庫(kù)的類,注解類
#-keep class com.zhubayi.proguarddemo.elasticsearch.** { *; }
#-keep class com.zhubayi.proguarddemo.annotation.** {*;}
#還有一些配置類和Bean不能混淆 比如logPointCut prefix 這些 @Pointcut @ConfigurationProperties(prefix = "redisson")
#-keep class com.zhubayi.proguarddemo.aspectj.** {*;}
# 全放開(kāi)
#-keep class com.ugdsec.** {*;}
#保留Serializable序列化的類不被混淆
# controller 層映射前臺(tái)參數(shù)的類、后端返回的 bean 屬性類等,不能混淆類的成員屬性(如變成 string a;)
-keepclassmembers class * implements java.io.Serializable {*;}
# 不混淆所有的set/get方法
#-keepclassmembers public class * {void set*(***);*** get*();}
- pom.xml配置示例 (注意:它必須要放到spring-boot-maven-plugin上面)
<build>
<plugins>
<plugin>
<groupId>com.github.wvengen</groupId>
<artifactId>proguard-maven-plugin</artifactId>
<version>2.6.0</version>
<executions>
<!-- 以下配置說(shuō)明執(zhí)行mvn的package命令時(shí)候,會(huì)執(zhí)行proguard-->
<execution>
<phase>package</phase>
<goals>
<goal>proguard</goal>
</goals>
</execution>
</executions>
<configuration>
<!-- 是否混淆 默認(rèn)是true -->
<obfuscate>true</obfuscate>
<!-- 防止本地編譯的時(shí)候路徑太長(zhǎng)編譯失敗-->
<putLibraryJarsInTempDir>true</putLibraryJarsInTempDir>
<!-- 就是輸入Jar的名稱,我們要知道,代碼混淆其實(shí)是將一個(gè)原始的jar,生成一個(gè)混淆后的jar,那么就會(huì)有輸入輸出。 -->
<injar>${project.build.finalName}.jar</injar>
<!-- 輸出jar名稱,輸入輸出jar同名的時(shí)候就是覆蓋,也是比較常用的配置。 -->
<outjar>${project.build.finalName}.jar</outjar>
<!-- 配置一個(gè)文件,通常叫做proguard.cfg,該文件主要是配置options選項(xiàng),也就是說(shuō)使用proguard.cfg那么options下的所有內(nèi)容都可以移到proguard.cfg中 -->
<proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>
<!-- 額外的jar包,通常是項(xiàng)目編譯所需要的jar -->
<libs>
<lib>${java.home}/lib/rt.jar</lib>
<lib>${java.home}/lib/jce.jar</lib>
<lib>${java.home}/lib/jsse.jar</lib>
</libs>
<!-- 對(duì)輸入jar進(jìn)行過(guò)濾比如,如下配置就是對(duì)META-INFO文件不處理。 -->
<!-- <inLibsFilter>!META-INF/**,!META-INF/versions/9/**.class</inLibsFilter>-->
<!-- 這是輸出路徑配置,但是要注意這個(gè)路徑必須要包括injar標(biāo)簽填寫的jar -->
<outputDirectory>${project.basedir}/target</outputDirectory>
<!--這里特別重要,此處主要是配置混淆的一些細(xì)節(jié)選項(xiàng),比如哪些類不需要混淆,哪些需要混淆-->
<options>
<!-- 可以在這里寫option標(biāo)簽配置,不過(guò)我上面使用了proguardInclude,所以可以在proguard.cfg中配置 -->
<!--JDK8-->
<!--<option>-target 1.8</option>-->
<!-- 不做收縮(刪除注釋、未被引用代碼)-->
<!--<option>-dontshrink</option>-->
<!-- 不做優(yōu)化(變更代碼實(shí)現(xiàn)邏輯)-->
<!--<option>-dontoptimize</option>-->
<!-- 不路過(guò)非公用類文件及成員-->
<!--<option>-dontskipnonpubliclibraryclasses</option>-->
<!--<option>-dontskipnonpubliclibraryclassmembers</option>-->
<!--不用大小寫混合類名機(jī)制-->
<!--<option>-dontusemixedcaseclassnames</option>-->
</options>
<!--子模塊-->
<assembly>
<inclusions>
<!--<inclusion>-->
<!-- <groupId>com.zhubayi</groupId>-->
<!-- <artifactId>chen-system</artifactId>-->
<!--</inclusion>-->
</inclusions>
</assembly>
</configuration>
<dependencies>
<dependency>
<groupId>com.guardsquare</groupId>
<artifactId>proguard-base</artifactId>
<version>7.1.1</version>
<scope>runtime</scope>
</dependency>
<!--<dependency>-->
<!-- <groupId>com.guardsquare</groupId>-->
<!-- <artifactId>proguard-core</artifactId>-->
<!-- <version>7.1.1</version>-->
<!-- <scope>runtime</scope>-->
<!--</dependency>-->
</dependencies>
</plugin>
<!-- proguard 代碼混淆配置 結(jié)束-->
<plugin>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-maven-plugin</artifactId>
<configuration>
<!-- 如果沒(méi)有該配置,devtools不會(huì)生效 -->
<fork>true</fork>
<mainClass>com.zhubayi.proguarddemo.ProguardDemoApplication</mainClass>
<!--<excludeGroupIds>com.zhubayi</excludeGroupIds>-->
</configuration>
<executions>
<execution>
<goals>
<goal>repackage</goal>
</goals>
</execution>
</executions>
</plugin>
</plugins>
</build>注意:
<proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>${project.basedir}/proguard.cfg表示當(dāng)前項(xiàng)目的根目錄,所以需要把proguard.cfg放在當(dāng)前項(xiàng)目的根目錄
然后進(jìn)行打包

打包之后會(huì)多出三個(gè)文件

<!-- 就是輸入Jar的名稱,我們要知道,代碼混淆其實(shí)是將一個(gè)原始的jar,生成一個(gè)混淆后的jar,那么就會(huì)有輸入輸出。 -->
<injar>${project.build.finalName}.jar</injar>
<!-- 輸出jar名稱,輸入輸出jar同名的時(shí)候就是覆蓋,也是比較常用的配置。 -->
<outjar>${project.build.finalName}.jar</outjar>從pom打包配置可以得到,proguard-demo-0.0.1-SNAPSHOT.jar,就是項(xiàng)目混淆后的jar包。
而proguard-demo-0.0.1-SNAPSHOT_proguard_base.jar就是正常的包,沒(méi)有進(jìn)行混淆。
反編譯查看
下載反編譯工具 jd-gui

打開(kāi)然后選擇剛剛的混淆jar包

這里面對(duì)springboot相關(guān)的都進(jìn)行過(guò)過(guò)濾,所以剩下的都是和springboot無(wú)關(guān)的類, entity包、主啟動(dòng)類和controller包配置沒(méi)有進(jìn)行混淆,所以還是原來(lái)的名字,其他都進(jìn)行了混淆,類名稱都直接縮寫成了小寫字母a,b,c…
啟動(dòng)測(cè)試
D:\IdeaProjects\mytools\proguard-demo\target>java -jar proguard-demo-0.0.1-SNAPSHOT.jar
. ____ _ __ _ _
/\\ / ___'_ __ _ _(_)_ __ __ _ \ \ \ \
( ( )\___ | '_ | '_| | '_ \/ _` | \ \ \ \
\\/ ___)| |_)| | | | | || (_| | ) ) ) )
' |____| .__|_| |_|_| |_\__, | / / / /
=========|_|==============|___/=/_/_/_/
:: Spring Boot :: (v2.3.12.RELEASE)2024-08-09 10:45:52.197 INFO 18600 --- [ main] c.z.p.ProguardDemoApplication : Starting ProguardDemoApplication v0.0.1-SNAPSHOT on zhubayi-computer with PID 18600 (D:\IdeaProjects\mytools\proguard-demo\target\proguard-demo-0.0.1-SNAPSHOT.jar started by zhubayi in D:\IdeaProjects\mytools\proguard-demo\target)
2024-08-09 10:45:52.199 INFO 18600 --- [ main] c.z.p.ProguardDemoApplication : No active profile set, falling back to default profiles: default
2024-08-09 10:45:53.664 INFO 18600 --- [ main] o.s.b.w.embedded.tomcat.TomcatWebServer : Tomcat initialized with port(s): 8080 (http)
2024-08-09 10:45:53.674 INFO 18600 --- [ main] o.apache.catalina.core.StandardService : Starting service [Tomcat]
2024-08-09 10:45:53.675 INFO 18600 --- [ main] org.apache.catalina.core.StandardEngine : Starting Servlet engine: [Apache Tomcat/9.0.46]
2024-08-09 10:45:53.730 INFO 18600 --- [ main] o.a.c.c.C.[Tomcat].[localhost].[/] : Initializing Spring embedded WebApplicationContext
2024-08-09 10:45:53.730 INFO 18600 --- [ main] w.s.c.ServletWebServerApplicationContext : Root WebApplicationContext: initialization completed in 1488 ms
2024-08-09 10:45:53.887 INFO 18600 --- [ main] o.s.s.concurrent.ThreadPoolTaskExecutor : Initializing ExecutorService 'applicationTaskExecutor'
2024-08-09 10:45:54.028 INFO 18600 --- [ main] o.s.b.w.embedded.tomcat.TomcatWebServer : Tomcat started on port(s): 8080 (http) with context path ''
2024-08-09 10:45:54.035 INFO 18600 --- [ main] c.z.p.ProguardDemoApplication : Started ProguardDemoApplication in 2.143 seconds (JVM running for 2.561)

成功獲取到了數(shù)據(jù)。
總結(jié)
以上為個(gè)人經(jīng)驗(yàn),希望能給大家一個(gè)參考,也希望大家多多支持腳本之家。
相關(guān)文章
通過(guò)JDBC連接oracle數(shù)據(jù)庫(kù)的十大技巧
通過(guò)JDBC連接oracle數(shù)據(jù)庫(kù)的十大技巧...2006-12-12
Data Source與數(shù)據(jù)庫(kù)連接池簡(jiǎn)介(JDBC簡(jiǎn)介)
DataSource是作為DriverManager的替代品而推出的,DataSource 對(duì)象是獲取連接的首選方法,這篇文章主要介紹了Data Source與數(shù)據(jù)庫(kù)連接池簡(jiǎn)介(JDBC簡(jiǎn)介),需要的朋友可以參考下2022-11-11
Spring Cloud中使用Eureka的詳細(xì)過(guò)程
Eureka 是 Netflix 開(kāi)源的一個(gè)服務(wù)發(fā)現(xiàn)組件,它在微服務(wù)架構(gòu)中扮演著重要的角色,這篇文章主要介紹了Spring Cloud中如何使用Eureka,需要的朋友可以參考下2024-07-07
SpringBoot實(shí)現(xiàn)類似鉤子函數(shù)的方法
這篇文章主要給大家介紹了關(guān)于SpringBoot實(shí)現(xiàn)類似鉤子函數(shù)的方法,文中通過(guò)代碼示例介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2024-04-04

