Nacos 配置加密功能也太鸡肋了吧，还是用Jasypt 吧

冷不防 2023-10-14 08:54 22阅读 0赞

当项目中用了 Nacos 做配置中心，是不是所有的配置都放到里面呢，大部分时候为了省事和统一，系统所有的配置都直接放在里面了，有时候，会包括一些账号、密码、秘钥等信息。

这时候你们的项目是怎么处理的呢?

一种方式，不管它，反正 Nacos 有密码，如果 Nacos 都被攻破了，那也没办法。

还有一种方式，这些涉及到密码、秘钥的信息放到本地环境变量中，这种方式虽然也还算方便，但是管理起来就不是很统一了。

## 那有没有什么一举两得的方式呢？ ##

### Nacos2.0本身的插件功能 ###

Nacos 本身提供了一种加密实现，是基于SPI的插件机制实现的。

要使用插件，需要Nacos版本是2.x版本，如果你正在使用1.x版本，需要进行升级。

引入插件包。

<dependency>
      <groupId>com.alibaba.nacos</groupId>
      <artifactId>nacos-aes-encryption-plugin</artifactId>
      <version>${nacos-aes-encryption-plugin.version}</version>
    </dependency>

之后如果想对配置加密，需要创建名称为 `cipher-[加密算法名称]-dataId`这种规则的配置文件，例如`cipher-aes-application-dev.yml`。

之后不管你在配置中写上什么内容，都会被加密。

例如：

password: 123456

那在程序中读出来的都是被加密过的，需要你调用插件提供的解密方法解密，或者自定义加解密方法。

但实话说这种方式有点粗暴了。不加密则已，一加密那就是整个配置文件啊，这好像也不太符合只有部分字段需要加密的场景。

而且你还必须得升级到2.x的版本才行，都做成插件了，还要区分版本。

而且官方文档相当敷衍了，实在不像是诚意之作啊。

我选择放弃这种方式。

## 我选择 Jasypt ##

Jasypt 其实是一个专门用于加解密的库，对于像 Nacos 配置文件、本地配置文件等配置信息的加解密就是一个顺手的事儿。

加解密就不用多说了，有很多的开源包，甚至你自己写一个工具类都是轻而易举的事儿。

如果我们使用 Spring Boot 的话，一般读取配置的时候用下面这种方式，不管是本地配置文件、环境变量或者Nacos都可以通用。

@Value("${aestest.appKey}")
    private String appKey;

如果改成加密的配置后，上面的 appKey 读出来的内容可能就变成了`0cxddfjjgglllsff000s`这种一串看不懂的内容了。当然了，我们可以在使用这个变量的地方调用解密方法进行解密，但是这样一来，就变得很麻烦了。

开始我还打算自己写一个来着，后来发现 `jasypt-spring-boot-starter`正好完美的实现了，直接用它就好了。

1、首先引入`jasypt`专门为 Spring Boot 开发的包

<dependency>
      <groupId>com.github.ulisesbocchio</groupId>
      <artifactId>jasypt-spring-boot-starter</artifactId>
      <version>3.0.5</version>
    </dependency>

2、在配置文件中进行相关配置

jasypt:
      encryptor:
        password: hello
        algorithm: PBEWithMD5AndDES

`algorithm`是加密算法，官方默认的加密算法是 `PBEWITHHMACSHA512ANDAES_256`，但是如果你用的是 JDK1.8，还用不了这个算法，JDK9以上才支持，所以可以把这个算法改成`PBEWithMD5AndDES`。

`password`是加解密的时候用到的密码，这个配置是不建议放到Nacos的，可以放到环境变量中，这样一来，就只有这一个参数放到环境变量了。

3、生成加密字符串

Jasypt 默认用 `Enc(内容)`这样的格式来表示这是加密的配置，当然你可以通过配置来修改前缀和后缀，比如改成 `JASYPT[内容]`这种形式，其中`内容`部分是加密后的。

加密串可以这样生成。

引入加密类

@Autowired
    private StringEncryptor encryptor;

生成加密内容

@GetMapping("/encrypt")
    public String encrypt(String content) {
      return "ENC(" + encryptor.encrypt(content) + ")";
    }

4、最后将生成的加密串保存到 Nacos 或本地配置中，例如下面这样

aestest:
      appKey: ENC(GT2vTn1+SdeFu90xH/vgw3uYTNyV5PGp)

5、直接使用`@Value`注解获取就行，和不加密的用法一模一样

@Value("${aestest.appKey}")
    private String appKey;

#### 原理 ####

加密的原理没啥好说的，上面用的`PBEWithMD5AndDES`就是DES加密算法。

而`@Value`注解直接拿到解密后的值，其实是实现了`BeanFactoryPostProcessor`接口，相当于利用 Spring Boot 的加载机制做了一个filter，在filter中查找 `@Value`注解，并且内容是以 `Jasypt`指定的前后缀的配置项（例如`ENC()`），将找到的内容进行解密，再赋值解密后的值。