实际项目开发过程中，我们的应用程序都有很多的配置文件（例如properties或者yml文件等），我们时常会遇到需要对配置文件敏感字段的参数内容进行加密处理(比如数据库连接密码、与第三方的通信密钥等)。
如果采用一定采用传统的springMVC做系统集成，我们可以继承PropertyPlaceholderConfigurer类并复写其converProperty方法，在该方法内一般需要做两步处理：
1、根据参数名propertyName或者根据参数值propertyValue判断当前是否需要进行内容解密。2、如果需要解密，根据系统设计调用解密处理逻辑，然后调用父级converProperty方法。
按照上面的思路，我们先实现自己的PropertyPlaceholderConfigurer子类，假如当前我们的需求是要将test.content参数值后面追加内容“《我是后加的内容》”
@Slf4jpublic class MyPropertyPlaceholderConfigurer extends PropertyPlaceholderConfigurer {@Overrideprotected String convertProperty(String propertyName, String propertyValue) {//这里做对属性的内容的加解密等操作//TODO somethingif (propertyName.equalsIgnoreCase("test.content")) {log.info("当前即将过滤的内容[" + propertyName + "]=[" + propertyValue + "]");propertyValue = propertyValue + "《我是后加的内容》";} else if (propertyName.equalsIgnoreCase("spring.datasource.password")) {propertyValue = propertyValue.replace("abc", "");}return super.convertProperty(propertyName, propertyValue);}}
接下来，我们要是实例化我们自定义的PropertyPlaceholderConfigurer，如果我们使用xml方式配置，则代码如下：
<bean id="propertyConfigurer" class="com.spring.boot.test.util.MyPropertPlaceholderConfigurer"><property name="locations"><list><value>classpath:application.poperties</value></list></property></bean>
如果采用javaconfig方式时代码如下：
@Beanpublic PropertyPlaceholderConfigurer propertyPlaceholderConfigurer(){PropertyPlaceholderConfigurer placeholderConfigurer=new MyPropertyPlaceholderConfigurer();PathMatchingResourcePatternResolver resolver = new PathMatchingResourcePatternResolver();Resource resource = resolver.getResource("classpath:application.properties");placeholderConfigurer.setLocation(resource);return placeholderConfigurer;}
通过上面的步骤，我们可以在程序的TestService中使用自动注入或者Spring表达式@Value(“$(参数名)”)获取到的内容就是我们解密之后的内容。我们启动程序后我们可以看到日志内容
c.s.b.t.u.MyPropertyPlaceholderConfigurer[16] - 当前即将过滤的内容[test.content]=[测试内容]c.s.b.t.s.TestService[24] - 当前拿到的testContent=测试内容《我是后加的内容》
遗憾的时，上述方式存在两个缺点：
1、目前只支持properties配置文件，当我们使用yaml文件后就不生效了，运行会报文件格式异常，如果要生效，必须复写底层的loadProperties方法分别对不同格式的文件进行解析。但是这样可能会麻烦的多。2、当我们使用spring boot后，对数据库相关配置参数解析后，数据库自动初始化装配无法成功，即数据库会在PropertyPlaceholderConfigurer类之前初始化，如果加密内容正好是数据库连接密码，那么程序启动后会因为数据库无法连接而报错，程序自动挂断。错误内容：Failed to initialize pool: Access denied for user 'root'@'localhost' (using password: YES)
面对以上问题，直接通过修改PropertyPlaceholderConfigurer解决的路子我并没有去测试，不过接下来我们介绍另外一种方式解决这个问题，那就是spring boot集成jasypt框架实现对配置文件的参数内容加解密。
jasypt是一个java实现的安全框架，最新版本已经不提供PlaceholderConfigurer，所以我们很难直接使用该框架报对properties或者yml文件进行处理，但是国外大神Ulises Bocchio写了一个spring boot下用的工具包github地址/ulisesbocchio/jasypt-spring-boot，该工具包支持使用jasypt框架来处理properties和yml配置文件参数内容的加解密操作，该工具已经发布到了中央仓库供大家使用。而且文档信息非常详细。下面我们简单说一下该工具的优势。
1、该工具支持注解方式开启jasypt功能，以及注解方式引入一个或多个需要处理的配置文件。2、该工具同时支持properties与yml文件的解析处理。3、该工具支持自定义加解密类型和复写加解密方法。
在早期的版本中jasypt为spring提供过EncryptablePropertyPlaceholderConfigurer与EncryptablePropertySourcesPlaceholderConfigurer两个类，但是后面的包中都不包含这两个类了。如果希望使用这种方式可以参考如下两篇博客：
/softidea/p/5841042.html/apdplat/blog/405306
最新的1.9.2版本中以上两个类都已经不存在了。所以推荐使用Ulises Bocchio写工具包来做系统集成。下面我们按照其文档简单配置一下使用思路。
首先，引入工具包依赖
<dependency><groupId>com.github.ulisesbocchio</groupId><artifactId>jasypt-spring-boot-starter</artifactId><version>1.14</version></dependency>
如果不使用stater，我们可以引入如下包
<dependency><groupId>com.github.ulisesbocchio</groupId><artifactId>jasypt-spring-boot</artifactId><version>1.14</version></dependency>
默认情况下jasypt采用的算法是PBEWithMD5AndDES，该算法对同一串明文每次加密的密文都不一样，比较适合做数据加解密。但是该算法必须配置密码，我们在yml文件配置如下参数
jasypt:encryptor:password: e!Jd&ljyJ^e4I5oU
如果想要改变其他配置例如密文的前后缀也可以在这里配置。
如果上面引入的包不是starter，那么需要在启动类上添加注解@EnableEncryptableProperties以启动该功能。
然后我们写一个junit测试类，具体内容如下
public class TestBootTest {@AutowiredStringEncryptor stringEncryptor;//密码解码器自动注入@Testpublic void test() {System.out.println(stringEncryptor.encrypt("123456"));}}
执行后的控制台输出123456加密后的内容：P7xVJnbrn/MCzyVEOejTRw==
小提示：在控制台下，我们直接使用jasypt工具包进行原始数据加密可以采用如下命令
java -cp jasypt-1.9.2.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input=原文 password=密码 algorithm=加密方式
例如，我们要对中文“原文”进行加密，密码为123456，加密方式为PBEWithMD5AndDES，则具体命令为
java -cp jasypt-1.9.2.jar org.jasypt.intf.cli.JasyptPBEStringEncryptionCLI input=原文 password=123456 algorithm=PBEWithMD5AndDES
执行后会在控制台输出如下内容
----ENVIRONMENT-----------------Runtime: Oracle Corporation Java HotSpot(TM) 64-Bit Server VM 24.79-b02----ARGUMENTS-------------------algorithm: PBEWithMD5AndDESinput: 原文password: 123456----OUTPUT----------------------BDhzghe2quZtDpX0ZM/e4w==
我们将spring.datasource.password的值配置为ENC(P7xVJnbrn/MCzyVEOejTRw==)，为什么需要这么配置呢，因为默认情况下jasypt-spring-boot解析密码的规则是前缀是ENC(后缀是)。我们改造我们的单元测试工具类
public class TestBootTest {@AutowiredStringEncryptor stringEncryptor;//密码解码器自动注入@Value("${spring.datasource.password}")private String password;@Autowiredprivate UserInfoMapper userInfoMapper;@Testpublic void test() {// System.out.println(stringEncryptor.encrypt("123456"));System.out.println("连接数据库密码:" + password);System.out.println("查询到的信息："+userInfoMapper.selectByUserId(1));}}
启动单元测试，可以看到日志输出了如下内容
连接数据库密码:123456[-08-03 22:20:41,653][INFO ] c.z.h.HikariDataSource[95] - HikariPool-1 - Starting...[-08-03 22:20:42,200][INFO ] c.z.h.HikariDataSource[107] - HikariPool-1 - Start completed.查询到的信息：UserInfo(id=1, userName=test1, userAge=20, address=四川成都, addTime=-06-05 19:32:42)
可以看到采用jasypt-spring-boot-starter工具来集成spring boot与jasypt的功能成功实现了。我们看再看下配置日志，可以看到默认情况下字符串加密机默认的配置信息
[-08-03 22:20:32,008][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.algorithm, using default value: PBEWithMD5AndDES[-08-03 22:20:32,009][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.keyObtentionIterations, using default value: 1000[-08-03 22:20:32,009][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.poolSize, using default value: 1[-08-03 22:20:32,010][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.providerName, using default value: null[-08-03 22:20:32,012][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.saltGeneratorClassname, using default value: org.jasypt.salt.RandomSaltGenerator[-08-03 22:20:32,029][INFO ] c.u.j.StringEncryptorConfiguration[45] - Encryptor config not found for property jasypt.encryptor.stringOutputType, using default value: base64
通过以上方式使用jasypt框架处理配置文件参数加密的功能就基本上OK了，但是存在一定的风险，那就是程序配置文件中，存在解密密文的密码。因为PBEWithMD5AndDES算法到处都可以找到实现。如果拿到了数据库密文和算法的密码，那么很容易解析出连接数据库的密码。一般严谨的做法是不会将密文信息与解密工具放在一起，避免程序被获取后，加密算法和数据库密码密文以及解密密码都同时被泄露。我们公司就是采用C语言写了一个加解密工具，放在服务器上特定的位置。有Java程序中去调用该工具进行解密。那么这种情况下我们怎么自定义解密逻辑呢？
从单元测试中可以看到我们注入了一个加解密的接口StringEncryptor，跟踪改类的实现可以看到系统调用了encrypt方法用于明文加密，调用decrypt对密文进行解密。于是我们实现该接口,假如我们将数据库密码参数spring.datasource.password=123456配置为spring.datasource.password=ENC(654321)，那么在该类里面我们要将654321替换为123456，得到我们的真实密码。代码如下
public class DefaultEncryptor implements StringEncryptor {@Overridepublic String encrypt(String message) {if ("123456".equalsIgnoreCase(message)) {message = "654321";}return message;}@Overridepublic String decrypt(String encryptedMessage) {if ("654321".equalsIgnoreCase(encryptedMessage)) {log.info("将密文[654321]替换为[123456]");encryptedMessage = "123456";}return encryptedMessage;}}
接下来，我们使用java config方式实例化该对象替换默认的StringEncryptor实例，如下
@Bean(name = "stringEncryptor")public StringEncryptor stringEncryptor() {return new DefaultEncryptor();}
我们运行单元测试，可以看到自定义密码解码器的日志信息
[-08-03 22:31:47,291][INFO ] c.s.b.t.u.DefaultEncryptor[22] - 将密文[654321]替换为[123456]
通过以上步骤，我们采用自定义的StringEncryptor实现了上下文中敏感信息的自定义加解密处理。
特别说明，文中引入的jasypt-spring-boot-starter的版本是1.14，该版本要求JRE版本必须为1.8。如果要想在1.6或者1.7下运行，那么必须使用1.4或1.5的版本的定制版本。
1.7版本下引入：
<dependency><groupId>com.github.ulisesbocchio</groupId><artifactId>jasypt-spring-boot-starter</artifactId><version>1.5-java7</version></dependency>
1.6版本下引入：
<dependency><groupId>com.github.ulisesbocchio</groupId><artifactId>jasypt-spring-boot-starter</artifactId><version>1.5-java6</version></dependency>
参考：
/ulisesbocchio/jasypt-spring-boot
