如果对你有帮助, 请点击💖喜欢💖鼓励一下我这个臭弟弟
Spring boot多模块项目使用proguard实现代码混淆
前置知识: proguard基本概念/配置
代码混淆前述
代码混淆常见于安卓的apk文件, 服务端的代码因为不易被普通用户接触, 所以混淆不多. 但是某些场景下, 比如将项目部署到客户机器上, 就会有泄露代码逻辑的风险. 不过需要了解的是, 使用proguard混淆代码只能增加阅读和理解的难度, 并不能百分百保证代码安全.
多模块代码混淆方案
- 选择需要混淆的模块
- 添加maven proguard插件
- 添加proguard配置文件, 设置需要保留的类信息
多模块代码混淆操作
采用以下项目目录为例:
demo_project
|-module_A
|-module_B
|-module_C
其中, 模块A和模块B是代码逻辑部分, 需要进行混淆
- 在模块A和模块B的pom.xml中增加如下插件:
<build>
<plugins>
<plugin>
<groupId>com.github.wvengen</groupId>
<artifactId>proguard-maven-plugin</artifactId>
<executions>
<execution>
<phase>package</phase>
<goals><goal>proguard</goal></goals>
</execution>
</executions>
<configuration>
<proguardVersion>6.0.3</proguardVersion>
<!-- 要混淆的jar包名 -->
<injar>${project.build.finalName}.jar</injar>
<!-- 混淆之后的jar包名 -->
<outjar>${project.build.finalName}.jar</outjar>
<obfuscate>true</obfuscate>
<!-- 指定该模块是否是项目的一部分 -->
<attach>true</attach>
<!-- proguard配置文件 --> <proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>
<!-- 依赖的jar包 -->
<libs>
<lib>${java.home}/lib/rt.jar</lib>
</libs>
</configuration>
<dependencies>
<dependency>
<groupId>net.sf.proguard</groupId>
<artifactId>proguard-base</artifactId>
<version>6.0.3</version>
</dependency>
</dependencies>
</plugin>
<plugin>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-maven-plugin</artifactId>
</plugin>
</plugins>
</build>
其中的attach=true, 表明打包后的jar是项目的一部分. 混淆之后的类名会变成a, b, c....等, 如果没有这个配置, 当使用@Resource通过bean的name引用bean的使用, 会和其他模块混淆之后的bean重名, 造成错误.
使用attach=true的话, 打包之后的jar文件名会带-small后缀.
- proguard配置文件
-dontshrink ##默认是开启的，这里关闭shrink，即不删除没有使用的类/成员
-dontoptimize ##默认是开启的，这里关闭字节码级别的优化
-useuniqueclassmembernames ##对于类成员的命名的混淆采取唯一策略
-adaptclassstrings ## 混淆类名之后，对使用Class.forName('className')之类的地方进行相应替代
-dontusemixedcaseclassnames ## 混淆时不生成大小写混合的类名，默认是可以大小写混合
#保留注解
-keepattributes *Annotation*
#保留类名, 两个*包括子包
-keepnames public class com.test.**
#保留controller类的方法名
-keep class com.test.controller.* {*;}
#指定要保持的目录结构，默认情况下会删除所有目录以减小jar的大小。
-keepdirectories
#保留参数名字
-keepparameternames
- 代码中需要注意的地方
①. controller中如果方法的参数使用@ PathVariable注解, 需要保证参数名不会被混淆
②. 如果bean使用@Resource注入, 需要保证能根据bean的name找到bean, 最好是定义和使用bean时指定name属性
③. 如果bean使用@Autowired注入, 需要保证同类型的bean只有1个
④. 如果使用aop, 需要保证Pointcut定义的方法能够被找到
⑥. 如果类的属性需要用到setter/getter, 要保证方法名不会被混淆
⑦. 如果定时任务以反射方式配置执行, 需要保证方法名不会被混淆 - 混淆之后
混淆之后, 会在target目录下生成未混淆的jar包和混淆之后的jar包[文件名带-small], proguard_map.txt[混淆前后映射], proguard_seed.txt[未参与混淆的类和成员]
混淆之后的类文件中的变量/方法名/类名变成了A, a, b, c, v1....等 - 引用混淆之后的jar
<dependency>
<groupId>com.test</groupId>
<artifactId>module_A</artifactId>
<classifier>small</classifier>
<version>1.0</version>
</dependency>
如果对你有帮助, 请点击💖喜欢💖鼓励一下我这个臭弟弟
