--- theme: healer-readable --- ## 场景最近项目要求部署到其他公司的服务器上，但是又不想将源码泄露出去。要求对正式环境的启动包进行安全性处理，防止客户直接通过反编译工具将代码反编译出来。 ## 方案 > 第一种方案使用代码混淆采用proguard-maven-plugin插件在单模块中此方案还算简单，但是现在项目一般都是多模块，一个模块依赖多个公共模块。那么使用此方案就比较麻烦，配置复杂，文档难懂，各模块之间的调用在是否混淆时极其容易出错。 > 第二种方案使用代码加密采用classfinal-maven-plugin插件此方案比对上面的方案来说，就简单了许多。直接配置一个插件就可以实现源码的安全性保护。并且可以对yml、properties配置文件以及lib目录下的maven依赖进行加密处理。若想指定机器启动，支持绑定机器，项目加密后只能在特定机器运行。 [ClassFinal项目源码地址](https://gitee.com/roseboy/classfinal.git) ## 项目操作只需要在启动类的pom.xml文件中加如下插件即可，需要注意的是，改插件时要放到spring-boot-maven-plugin插件后面，否则不起作用。 ```xml org.springframework.boot spring-boot-maven-plugin net.roseboy classfinal-maven-plugin 1.2.1 # org.spring ${groupId} application.yml,application-dev.yml hutool-all.jar xxxx package classFinal ``` ## 启动方式 > 无密码启动 java -javaagent:xxx-encrypted.jar -jar xxx-encrypted.jar > 有密码启动 java -javaagent:xxx-encrypted.jar='-pwd=密码' -jar xxx-encrypted.jar ## 反编译效果启动包加密之后，方法体被清空,保留方法参数、注解等信息.主要兼容swagger文档注解扫描反编译只能看到方法名和注解,看不到方法体的具体内容启动过程中解密class,完全内存解密,不留下任何解密后的文件 ![image.png](https://p1-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/8bb8672d24ea4533a7cc2ff7dc6f7b58~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=923&h=625&s=110315&e=png&b=fefefe) yml配置文件留下空白 ![image.png](https://p9-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/9e0ef3689fc4472ca6e9278e29cf44d3~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=867&h=511&s=74537&e=png&b=fbfbfb) ## 绑定机器启动下载到[classfinal-fatjar-1.2.1.jar](https://repo1.maven.org/maven2/net/roseboy/classfinal-fatjar/1.2.1/classfinal-fatjar-1.2.1.jar)依赖，在当前依赖下cmd执行`java -jar classfinal-fatjar-1.2.1.jar -C`命令，会自动生成一串机器码 ![image.png](https://p9-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/18ae2f5274584164a4992163db3e94f9~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=1035&h=215&s=16996&e=png&b=0e0e0e) 将此生成好的机器码，放到maven插件中的code里面即可。这样，打包好的项目只能在生成机器码的机器运行，其他机器则启动不了项目。