SrpingDruid数据源加密数据库密码的示例代码

前言

在工作中遇到这样一个问题：开发过程中将数据库的账号、密码等信息配置在了一个单独的properties配置文件中（使用明文）。但运维人员要求在配置文件中的密码一律不得出现明文。

环境

• spring 4.2.6.release
• mybatis 3.4.1
• druid 1.0.14

改造思路

一般spring容器启动时，通过propertyplaceholderconfigurer类读取jdbc.properties文件里的数据库配置信息。通过这个原理，我们把加密后的数据库配置信息放到jdbc.properties文件里，然后自定义一个继承propertyplaceholderconfigurer的类重写processproperties方法，实现解密，把解密后的信息又放回去。

而druid已经帮我们实现了上面的功能，我们只需要更改相关的配置即可。

1.生成数据库密码密文，替换明文。

2.更改spring配置文件中的数据源配置，开启数据库密码解密。

改造过程

项目源码地址

生成密文

在druid-1.0.14.jar所在目录执行命令

 

复制代码 代码如下:

java -cp druid-1.0.14.jar com.alibaba.druid.filter.config.configtools <your_db_password>

 

 

生成对应的密文，复制到数据库配置文件中。

更改druid数据源配置

开启数据库密码解密，在<bean id="datasource" class="com.alibaba.druid.pool.druiddatasource"></bean>

中添加如下属性：

<property name="connectionproperties" value="config.decrypt=true" />

遇到的问题

遇到以下错误：

[20/10/17 12:30:29:029 cst] druid-connectionpool-create-1225284770 error pool.druiddatasource: create connection error, url: jdbc:mysql://localhost:3306/common?useunicode=true&characterencoding=utf-8
java.sql.sqlexception: access denied for user 'root'@'localhost' (using password: yes)
  at com.mysql.jdbc.sqlerror.createsqlexception(sqlerror.java:1084)
  at com.mysql.jdbc.mysqlio.checkerrorpacket(mysqlio.java:4232)
  at com.mysql.jdbc.mysqlio.checkerrorpacket(mysqlio.java:4164)
  at com.mysql.jdbc.mysqlio.checkerrorpacket(mysqlio.java:926)
  at com.mysql.jdbc.mysqlio.proceedhandshakewithpluggableauthentication(mysqlio.java:1748)
  at com.mysql.jdbc.mysqlio.dohandshake(mysqlio.java:1288)
  at com.mysql.jdbc.connectionimpl.coreconnect(connectionimpl.java:2506)
  at com.mysql.jdbc.connectionimpl.connectonetryonly(connectionimpl.java:2539)
  at com.mysql.jdbc.connectionimpl.createnewio(connectionimpl.java:2321)
  at com.mysql.jdbc.connectionimpl.<init>(connectionimpl.java:832)
  at com.mysql.jdbc.jdbc4connection.<init>(jdbc4connection.java:46)
  at sun.reflect.generatedconstructoraccessor4.newinstance(unknown source)
  at sun.reflect.delegatingconstructoraccessorimpl.newinstance(delegatingconstructoraccessorimpl.java:45)
  at java.lang.reflect.constructor.newinstance(constructor.java:526)
  at com.mysql.jdbc.util.handlenewinstance(util.java:409)
  at com.mysql.jdbc.connectionimpl.getinstance(connectionimpl.java:417)
  at com.mysql.jdbc.nonregisteringdriver.connect(nonregisteringdriver.java:344)
  at com.alibaba.druid.filter.filterchainimpl.connection_connect(filterchainimpl.java:148)
  at com.alibaba.druid.filter.stat.statfilter.connection_connect(statfilter.java:211)
  at com.alibaba.druid.filter.filterchainimpl.connection_connect(filterchainimpl.java:142)
  at com.alibaba.druid.pool.druidabstractdatasource.createphysicalconnection(druidabstractdatasource.java:1377)
  at com.alibaba.druid.pool.druidabstractdatasource.createphysicalconnection(druidabstractdatasource.java:1431)
  at com.alibaba.druid.pool.druiddatasource$createconnectionthread.run(druiddatasource.java:1861)

也就是说，加解密并没有生效，因此数据库认为密码错误，拒绝连接。

经对比，发现数据源中的<property name="filters" value="mergestat" />属性值不对，应该为<property name="filters" value="stat,config" />。

为什么filters为mergestat就不对呢？

查看src/main/java/com/alibaba/druid/filter/config/configfilter.java源码：

在注释43行，可以看到datasource.setfilters("config");，因此这里不是说mergestat不行，而是缺少config的配置。

更多配置请参考wiki。

总结

1. 必须为spring项目，否则无法生效。在只含mybatis和druid（不含spring）的程序中使用上面的改造，发现还是无法正确连接数据库。

2. druid datasource配置中filters属性不应为mergestat，否则无法生效。

3. 为druid数据源打call，说它是优秀的java数据源一点也不为过。

升级druid到高版本

参考资料：druid wiki：使用configfilter

主要变化有两处：

1.生成的密码有公钥、私钥、签名之分。

2.配置文件中需要配置签名和公钥，spring配置文件也需要相应更改为：

 

复制代码 代码如下:

<property name="connectionproperties" value="config.decrypt=true;config.decrypt.key=${publickey}" />

 

错误：failed to decrypt 和 java.security.nosuchalgorithmexception:cannot find any provider supporting rsa/ecb/pkcs1padding

进一步说明：该问题在eclipse直接启动中不会出现，但部署到服务器上会出现。

原因：在解密步骤中出错，找不到支持rsa/ecb/pkcs1padding等和解密相关的算法相关的提供者。

解决：将${java_home}\lib\ext目录下的sunjce_provider.jar添加到classpath目录下。

补充：在druid github issues中作者温少将该问题标记为bug，但我认为这只是环境问题，不属于druid本身的bug。

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持服务器之家。

原文链接：http://www.cnblogs.com/helloIT/p/7761921.html?utm_source=tuicool&utm_medium=referral