如何优雅的达成 Spring Boot 接口参数加密解密？

发布时间：2022-06-21 16:34:41 所属栏目：安全来源：互联网

导读：因为有小伙伴刚好问到 RequestBodyAdvice 的用法，松哥就抽空撸一篇文章和大家聊聊这个话题。所以今天这篇文章有两个目的：分享参数/响应加解密的思路。分享 ResponseBodyAdvice 和 RequestBodyAdvice 的用法。好了，那么接下来就不废话了，我们一起来看

　　因为有小伙伴刚好问到 RequestBodyAdvice 的用法，松哥就抽空撸一篇文章和大家聊聊这个话题。

　　所以今天这篇文章有两个目的：

　　分享参数/响应加解密的思路。
　　分享 ResponseBodyAdvice 和 RequestBodyAdvice 的用法。
　　好了，那么接下来就不废话了，我们一起来看下。

　　1.开发加解密 starter
　　为了让我们开发的这个工具更加通用，也为了复习一下自定义 Spring Boot Starter，这里我们就将这个工具做成一个 stater，以后在 Spring Boot 项目中直接引用就可以。

　　首先我们创建一个 Spring Boot 项目，引入 spring-boot-starter-web 依赖：

　　复制
　　<dependency>
　　    <groupId>org.springframework.boot</groupId>
　　    <artifactId>spring-boot-starter-web</artifactId>
　　    <scope>provided</scope>
　　    <version>2.4.3</version>
　　</dependency>
　　因为我们这个工具是为 Web 项目开发的，以后必然使用在 Web 环境中，所以这里添加依赖时 scope 设置为 provided。

　　依赖添加完成后，我们先来定义一个加密工具类备用，加密这块有多种方案可以选择，对称加密、非对称加密，其中对称加密又可以使用 AES、DES、3DES 等不同算法，这里我们使用 Java 自带的 Cipher 来实现对称加密，使用 AES 算法：

　　复制
　　public class AESUtils {

　　    private static final String AES_ALGORITHM = "AES/ECB/PKCS5Padding";

　　    // 获取 cipher
　　    private static Cipher getCipher(byte[] key, int model) throws Exception {
　　        SecretKeySpec secretKeySpec = new SecretKeySpec(key, "AES");
　　        Cipher cipher = Cipher.getInstance(AES_ALGORITHM);
　　        cipher.init(model, secretKeySpec);
　　        return cipher;
　　    }

　　    // AES加密
　　    public static String encrypt(byte[] data, byte[] key) throws Exception {
　　        Cipher cipher = getCipher(key, Cipher.ENCRYPT_MODE);
　　        return Base64.getEncoder().encodeToString(cipher.doFinal(data));
　　    }

　　    // AES解密
　　    public static byte[] decrypt(byte[] data, byte[] key) throws Exception {
　　        Cipher cipher = getCipher(key, Cipher.DECRYPT_MODE);
　　        return cipher.doFinal(Base64.getDecoder().decode(data));
　　    }
　　}
　　这个工具类比较简单，不需要多解释。需要说明的是，加密后的数据可能不具备可读性，因此我们一般需要对加密后的数据再使用 Base64 算法进行编码，获取可读字符串。换言之，上面的 AES 加密方法的返回值是一个 Base64 编码之后的字符串，AES 解密方法的参数也是一个 Base64 编码之后的字符串，先对该字符串进行解码，然后再解密。

　　接下来我们封装一个响应工具类备用，这个大家如果经常看松哥视频已经很了解了：

　　复制
　　public class RespBean {
　　    private Integer status;
　　    private String msg;
　　    private Object obj;

　　    public static RespBean error(String msg) {
　　        return new RespBean(500, msg, null);
　　    }

　　    public static RespBean error(String msg, Object obj) {
　　        return new RespBean(500, msg, obj);
　　    }

　　    private RespBean() {
　　    }

　　    private RespBean(Integer status, String msg, Object obj) {
　　        this.status = status;
　　        this.msg = msg;
　　        this.obj = obj;
　　    }

　　    public Integer getStatus() {
　　        return status;
　　    }

　　    public RespBean setStatus(Integer status) {
　　        this.status = status;
　　        return this;
　　    }

　　    public String getMsg() {
　　        return msg;
　　    }

　　
　　接下来我们定义两个注解 @Decrypt 和 @Encrypt：

　　复制
　　@Retention(RetentionPolicy.RUNTIME)
　　@Target({ElementType.METHOD,ElementType.PARAMETER})
　　public @interface Decrypt {
　　}
　　@Retention(RetentionPolicy.RUNTIME)
　　@Target(ElementType.METHOD)
　　public @interface Encrypt {
　　}
　　1.
　　2.
　　3.
　　4.
　　5.
　　6.
　　7.
　　8.
　　这两个注解就是两个标记，在以后使用的过程中，哪个接口方法添加了 @Encrypt 注解就对哪个接口的数据加密返回，哪个接口/参数添加了 @Decrypt 注解就对哪个接口/参数进行解密。这个定义也比较简单，没啥好说的，需要注意的是 @Decrypt 比 @Encrypt 多了一个使用场景就是 @Decrypt 可以用在参数上。

　　考虑到用户可能会自己配置加密的 key，因此我们再来定义一个 EncryptProperties 类来读取用户配置的 key：

　　复制
　　@ConfigurationProperties(prefix = "spring.encrypt")
　　public class EncryptProperties {
　　    private final static String DEFAULT_KEY = "www.itboyhub.com";
　　    private String key = DEFAULT_KEY;

　　    public String getKey() {
　　        return key;
　　    }

　　    public void setKey(String key) {
　　        this.key = key;
　　    }
　　}
　　这里我设置了默认的 key 是 www.itboyhub.com，key 是 16 位字符串，松哥这个网站地址刚好满足。以后如果用户想自己配置 key，只需要在 application.properties 中配置 spring.encrypt.key=xxx 即可。

　　所有准备工作做完了，接下来就该正式加解密了。

　　因为松哥这篇文章一个很重要的目的是想和大家分享 ResponseBodyAdvice 和 RequestBodyAdvice 的用法，RequestBodyAdvice 在做解密的时候倒是没啥问题，而 ResponseBodyAdvice 在做加密的时候则会有一些局限，不过影响不大，还是我前面说的，如果想非常灵活的掌控一切，那还是自定义过滤器吧。这里我就先用这两个工具来实现了。

　

（编辑：应用网_丽江站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!

之于勒索软件持乐观态	通往零信任的坦途 SAS
网络安全技术趋向	防范数据偷取从了解其