速读摘要文章源自JAVA秀-https://www.javaxiu.com/11891.html
本文将介绍使用springboot+mybatis拦截器+自定义注解的形式对敏感数据进行存储前拦截加密的详细过程。目标需要加密、解密的字段可能需要灵活变更，此时我们定义一个注解，对需要加密的字段进行注解，那么便可以配合拦截器对需要的数据进行加密与解密操作了。method属性指定使用以上四种类型的具体方法(可进入class内部查看其方法)。Redis单线程已经很快了，为什么6.0要引入多线程?文章源自JAVA秀-https://www.javaxiu.com/11891.html
原文约 2414 字 | 图片 4 张 | 建议阅读 5 分钟 | 评价反馈文章源自JAVA秀-https://www.javaxiu.com/11891.html
在SpringBoot项目中，自定义注解+拦截器优雅的实现敏感数据的加解密！
CoderTanzJ Java学习者社区 文章源自JAVA秀-https://www.javaxiu.com/11891.html
文章源自JAVA秀-https://www.javaxiu.com/11891.html
作者：CoderTanzJ文章源自JAVA秀-https://www.javaxiu.com/11891.html
blog.csdn.net/bbcckkl/article/details/104069487文章源自JAVA秀-https://www.javaxiu.com/11891.html
在实际生产项目中，经常需要对如身份证信息、手机号、真实姓名等的敏感数据进行加密数据库存储，但在业务代码中对敏感信息进行手动加解密则十分不优雅，甚至会存在错加密、漏加密、业务人员需要知道实际的加密规则等的情况。文章源自JAVA秀-https://www.javaxiu.com/11891.html
本文将介绍使用springboot+mybatis拦截器+自定义注解的形式对敏感数据进行存储前拦截加密的详细过程。文章源自JAVA秀-https://www.javaxiu.com/11891.html
一、什么是Mybatis Plugin
在mybatis官方文档中，对于Mybatis plugin的的介绍是这样的：文章源自JAVA秀-https://www.javaxiu.com/11891.html
MyBatis 允许你在已映射语句执行过程中的某一点进行拦截调用。默认情况下，MyBatis 允许使用插件来拦截的方法调用包括：文章源自JAVA秀-https://www.javaxiu.com/11891.html
//语句执行拦截Executor (update, query, flushStatements, commit, rollback, getTransaction, close, isClosed)// 参数获取、设置时进行拦截ParameterHandler (getParameterObject, setParameters)// 对返回结果进行拦截ResultSetHandler (handleResultSets, handleOutputParameters)//sql语句拦截StatementHandler (prepare, parameterize, batch, update, query)简而言之，即在执行sql的整个周期中，我们可以任意切入到某一点对sql的参数、sql执行结果集、sql语句本身等进行切面处理。基于这个特性，我们便可以使用其对我们需要进行加密的数据进行切面统一加密处理了（分页插件 pageHelper 就是这样实现数据库分页查询的）。文章源自JAVA秀-https://www.javaxiu.com/11891.html
二、实现基于注解的敏感信息加解密拦截器
2.1 实现思路
对于数据的加密与解密，应当存在两个拦截器对数据进行拦截操作文章源自JAVA秀-https://www.javaxiu.com/11891.html
参照官方文档，因此此处我们应当使用ParameterHandler拦截器对入参进行加密文章源自JAVA秀-https://www.javaxiu.com/11891.html
使用ResultSetHandler拦截器对出参进行解密操作。文章源自JAVA秀-https://www.javaxiu.com/11891.html
文章源自JAVA秀-https://www.javaxiu.com/11891.html
目标需要加密、解密的字段可能需要灵活变更，此时我们定义一个注解，对需要加密的字段进行注解，那么便可以配合拦截器对需要的数据进行加密与解密操作了。文章源自JAVA秀-https://www.javaxiu.com/11891.html
mybatis的interceptor接口有以下方法需要实现。文章源自JAVA秀-https://www.javaxiu.com/11891.html
public interface Interceptor { //主要参数拦截方法 Object intercept(Invocation invocation) throws Throwable; //mybatis插件链 default Object plugin(Object target) {return Plugin.wrap(target, this);} //自定义插件配置文件方法 default void setProperties(Properties properties) {} }2.2 定义需要加密解密的敏感信息注解
定义注解敏感信息类（如实体类POJO\PO）的注解文章源自JAVA秀-https://www.javaxiu.com/11891.html
/** * 注解敏感信息类的注解 */@Inherited@Target({ ElementType.TYPE })@Retention(RetentionPolicy.RUNTIME)public @interface SensitiveData {}定义注解敏感信息类中敏感字段的注解文章源自JAVA秀-https://www.javaxiu.com/11891.html
/** * 注解敏感信息类中敏感字段的注解 */@Inherited@Target({ ElementType.Field })@Retention(RetentionPolicy.RUNTIME)public @interface SensitiveField {}2.3 定义加密接口及其实现类
定义加密接口，方便以后拓展加密方法（如AES加密算法拓展支持PBE算法，只需要注入时指定一下便可）文章源自JAVA秀-https://www.javaxiu.com/11891.html
public interface EncryptUtil { /** * 加密 * * @param declaredFields paramsObject所声明的字段 * @param paramsObject mapper中paramsType的实例 * @return T * @throws IllegalAccessException 字段不可访问异常 */ <T> T encrypt(Field[] declaredFields, T paramsObject) throws IllegalAccessException;}EncryptUtil 的AES加密实现类，此处AESUtil为自封装的AES加密工具，需要的小伙伴可以自行封装，本文不提供。（搜索公众号Java知音，回复“2021”，送你一份Java面试题宝典）文章源自JAVA秀-https://www.javaxiu.com/11891.html
@Componentpublic class AESEncrypt implements EncryptUtil { @Autowired AESUtil aesUtil; /** * 加密 * * @param declaredFields paramsObject所声明的字段 * @param paramsObject mapper中paramsType的实例 * @return T * @throws IllegalAccessException 字段不可访问异常 */ @Override public <T> T encrypt(Field[] declaredFields, T paramsObject) throws IllegalAccessException { for (Field field : declaredFields) { //取出所有被EncryptDecryptField注解的字段 SensitiveField sensitiveField = field.getAnnotation(SensitiveField.class); if (!Objects.isNull(sensitiveField)) { field.setAccessible(true); Object object = field.get(paramsObject); //暂时只实现String类型的加密 if (object instanceof String) { String value = (String) object; //加密 这里我使用自定义的AES加密工具 field.set(paramsObject, aesUtil.encrypt(value)); } } } return paramsObject; }}2.4 实现入参加密拦截器
Myabtis包中的org.apache.ibatis.plugin.Interceptor拦截器接口要求我们实现以下三个方法文章源自JAVA秀-https://www.javaxiu.com/11891.html
public interface Interceptor { //核心拦截逻辑 Object intercept(Invocation invocation) throws Throwable; //拦截器链 default Object plugin(Object target) {return Plugin.wrap(target, this);} //自定义配置文件操作 default void setProperties(Properties properties) { } }因此，参考官方文档的示例，我们自定义一个入参加密拦截器。文章源自JAVA秀-https://www.javaxiu.com/11891.html
@Intercepts 注解开启拦截器，@Signature 注解定义拦截器的实际类型。文章源自JAVA秀-https://www.javaxiu.com/11891.html
@Signature中文章源自JAVA秀-https://www.javaxiu.com/11891.html
type 属性指定当前拦截器使用StatementHandler 、ResultSetHandler、ParameterHandler，Executor的一种文章源自JAVA秀-https://www.javaxiu.com/11891.html
method 属性指定使用以上四种类型的具体方法（可进入class内部查看其方法）。文章源自JAVA秀-https://www.javaxiu.com/11891.html
args 属性指定预编译语句文章源自JAVA秀-https://www.javaxiu.com/11891.html
此处我们使用了 ParameterHandler.setParamters()方法，拦截mapper.xml中paramsType的实例（即在每个含有paramsType属性mapper语句中，都执行该拦截器，对paramsType的实例进行拦截处理）文章源自JAVA秀-https://www.javaxiu.com/11891.html
/** * 加密拦截器 * 注意@Component注解一定要加上 * * @author : tanzj * @date : 2020/1/19. */@Slf4j@Component@Intercepts({ @Signature(type = ParameterHandler.class, method = "setParameters", args = PreparedStatement.class),})public class EncryptInterceptor implements Interceptor { private final EncryptDecryptUtil encryptUtil; @Autowired public EncryptInterceptor(EncryptDecryptUtil encryptUtil) { this.encryptUtil = encryptUtil; } @Override @Override public Object intercept(Invocation invocation) throws Throwable { //@Signature 指定了 type= parameterHandler 后，这里的 invocation.getTarget() 便是parameterHandler //若指定ResultSetHandler ，这里则能强转为ResultSetHandler ParameterHandler parameterHandler = (ParameterHandler) invocation.getTarget(); // 获取参数对像，即 mapper 中 paramsType 的实例 Field parameterField = parameterHandler.getClass().getDeclaredField("parameterObject"); parameterField.setAccessible(true); //取出实例 Object parameterObject = parameterField.get(parameterHandler); if (parameterObject != null) { Class<?> parameterObjectClass = parameterObject.getClass(); //校验该实例的类是否被@SensitiveData所注解 SensitiveData sensitiveData = AnnotationUtils.findAnnotation(parameterObjectClass, SensitiveData.class); if (Objects.nonNull(sensitiveData)) { //取出当前当前类所有字段，传入加密方法 Field[] declaredFields = parameterObjectClass.getDeclaredFields(); encryptUtil.encrypt(declaredFields, parameterObject); } } return invocation.proceed(); } /** * 切记配置，否则当前拦截器不会加入拦截器链 */ @Override public Object plugin(Object o) { return Plugin.wrap(o, this); } //自定义配置写入，没有自定义配置的可以直接置空此方法 @Override public void setProperties(Properties properties) { }}至此完成自定义加密拦截加密。文章源自JAVA秀-https://www.javaxiu.com/11891.html
2.5 定义解密接口及其实现类
解密接口，其中result为mapper.xml中resultType的实例。文章源自JAVA秀-https://www.javaxiu.com/11891.html
public interface DecryptUtil { /** * 解密 * * @param result resultType的实例 * @return T * @throws IllegalAccessException 字段不可访问异常 */ <T> T decrypt(T result) throws IllegalAccessException; }解密接口AES工具解密实现类文章源自JAVA秀-https://www.javaxiu.com/11891.html
public class AESDecrypt implements DecryptUtil { @Autowired AESUtil aesUtil; /** * 解密 * * @param result resultType的实例 * @return T * @throws IllegalAccessException 字段不可访问异常 */ @Override public <T> T decrypt(T result) throws IllegalAccessException { //取出resultType的类 Class<?> resultClass = result.getClass(); Field[] declaredFields = resultClass.getDeclaredFields(); for (Field field : declaredFields) { //取出所有被EncryptDecryptField注解的字段 SensitiveField sensitiveField = field.getAnnotation(SensitiveField.class); if (!Objects.isNull(sensitiveField)) { field.setAccessible(true); Object object = field.get(result); //只支持String的解密 if (object instanceof String) { String value = (String) object; //对注解的字段进行逐一解密 field.set(result, aesUtil.decrypt(value)); } } } return result; }}2.6 定义出参解密拦截器
@Slf4j@Component@Intercepts({ @Signature(type = ResultSetHandler.class, method = "handleResultSets", args = {Statement.class})})public class DecryptInterceptor implements Interceptor { @Autowired DecryptUtil aesDecrypt; @Override public Object intercept(Invocation invocation) throws Throwable { //取出查询的结果 Object resultObject = invocation.proceed(); if (Objects.isNull(resultObject)) { return null; } //基于selectList if (resultObject instanceof ArrayList) { ArrayList resultList = (ArrayList) resultObject; if (!CollectionUtils.isEmpty(resultList) && needToDecrypt(resultList.get(0))) { for (Object result : resultList) { //逐一解密 aesDecrypt.decrypt(result); } } //基于selectOne } else { if (needToDecrypt(resultObject)) { aesDecrypt.decrypt(resultObject); } } return resultObject; } private boolean needToDecrypt(Object object) { Class<?> objectClass = object.getClass(); SensitiveData sensitiveData = AnnotationUtils.findAnnotation(objectClass, SensitiveData.class); return Objects.nonNull(sensitiveData); } @Override public Object plugin(Object target) { return Plugin.wrap(target, this); } @Override public void setProperties(Properties properties) { }}至此完成解密拦截器的配置工作。文章源自JAVA秀-https://www.javaxiu.com/11891.html
3、注解实体类中需要加解密的字段
文章源自JAVA秀-https://www.javaxiu.com/11891.html
此时在mapper中，指定paramType=User resultType=User 便可实现脱离业务层，基于mybatis拦截器的加解密操作。文章源自JAVA秀-https://www.javaxiu.com/11891.html
推荐阅读• 看看人家 SpringBoot 的全局异常处理，多么优雅...• 漫画TCP，一个悲伤的故事• 并发下的 HashMap 为什么会引起死循环？？？• Redis单线程已经很快了，为什么6.0要引入多线程？带来什么优势？最近面试BATJ，整理一份面试资料《Java面试BAT通关手册》，覆盖了Java核心技术、JVM、Java并发、SSM、微服务、数据库、数据结构等等。获取方式：点“在看”，关注公众号并回复 Java 领取，更多内容陆续奉上。
文章有帮助的话，在看，转发吧。文章源自JAVA秀-https://www.javaxiu.com/11891.html
谢谢支持哟 (*^__^*)文章源自JAVA秀-https://www.javaxiu.com/11891.html
评论