天天看點

最新版SpringBoot結合ProGuard實作代碼混淆

SpringBoot結合ProGuard實作代碼混淆

    • 參考案例
    • 前言
    • ProGuard內建
      • 1.maven的配置
      • 2.相關異常解決
      • 注意事項

參考案例

1、Springboot+proguard+maven 混淆.

2、proguard-spring-boot-example

3、官方解釋

4、Proguard的Keep使用方法

5、ProGuard 最全混淆規則說明

6、ProGuard代碼混淆技術詳解

7、使用proguard混淆springboot代碼

前言

研究ProGuard也花了兩天時間,其實最主要的時間花在前面proguard讀取jar包的時候相關jar沖突的問題,但是總的來說不用拆分SpringBoot項目并且實作代碼混淆已經很舒服了。

ProGuard內建

1.maven的配置

具體配置如下:

<build>
		<finalName>${artifactId}</finalName>
		<plugins>
			<plugin>
				<groupId>com.github.wvengen</groupId>
				<artifactId>proguard-maven-plugin</artifactId>
				<executions>
					<execution>
						<phase>package</phase>
						<goals><goal>proguard</goal></goals>
					</execution>
				</executions>
				<configuration>
					<proguardVersion>6.2.2</proguardVersion>
					<injar>${project.build.finalName}.jar</injar>
					<outjar>${project.build.finalName}.jar</outjar>
					<!--<proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>-->
					<obfuscate>true</obfuscate>
					<options>
						<!-- 不做收縮(删除注釋、未被引用代碼)-->
						<option>-dontshrink</option>
						<!-- 不做優化(變更代碼實作邏輯)-->
						<option>-dontoptimize</option>
						<!--保持目錄結構,否則spring的自動注入無法使用-->
						<!--<option>-keepdirectories</option>-->
						<option>-keepattributes Exceptions,InnerClasses,Signature,Deprecated,
							SourceFile,LineNumberTable, *Annotation*,EnclosingMethod
						</option>
						<option>-adaptclassstrings</option>
						<option>
							<!-- 保護程式入口 -->
							 -keep class com.jingchen.ccny.CmepApplication { *; }
						</option>
						<option>-keepnames interface ** { *; }</option>
						<!-- 固定幾個類不能混淆-->
						<option>-keepnames class com.jingchen.ccny.base.BaseService { *; }</option>
						<option>-keep class com.jingchen.ccny.common.cache.ConvertorNewCache { *; }</option>
						<option>-keep class com.jingchen.ccny.base.ControllerContext { *; }</option>
						<option>-keep class * extends com.jingchen.ccny.base.BaseService</option>
						<option>-keep class * implements com.jingchen.ccny.common.service.CallBackGuiService</option>
						<option>-keep class * implements com.jingchen.ccny.common.service.CallBackUDService</option>
						<option>-keep class com.jingchen.ccny.util.SpringUtil</option>
						<!--<option>-keep interface * extends * { *; }</option>-->
						<!-- 此選項将在所有包的所有類中儲存所有原始定義的注釋.-->
						<option>
							    -keep class * {
							@org.springframework.beans.factory.annotation.Autowired *;
							@org.springframework.beans.factory.annotation.Value *;
							@org.springframework.stereotype.Service *;
							@org.springframework.stereotype.Component *;
							@org.springframework.scheduling.annotation.Scheduled *;

							}
						</option>
					</options>
					<libs>
						<!-- Include main JAVA library required.-->
						<lib>${java.home}/lib/rt.jar</lib>
						<lib>${java.home}/lib/jce.jar</lib>
					</libs>
				</configuration>
				<dependencies>
					<dependency>
						<groupId>net.sf.proguard</groupId>
						<artifactId>proguard-base</artifactId>
						<version>6.2.2</version>
					</dependency>
				</dependencies>
			</plugin>

			<!-- Maven assembly must be run after proguard obfuscation so it take already obfuscated files.-->
			<plugin>
				<groupId>org.springframework.boot</groupId>
				<artifactId>spring-boot-maven-plugin</artifactId>
				<executions>
					<execution>
						<goals>
							<goal>repackage</goal>
						</goals>
						<configuration>
							<mainClass>com.jingchen.ccny.CcnyApplication</mainClass>
						</configuration>
					</execution>
				</executions>
			</plugin>
		</plugins>
	</build>           

複制

這裡裡面級聯引用的jar很多,建議配置了私服的人先把鏡像位址配置成maven中央倉庫位址,這樣先下下來相關依賴的包,然後再上傳到你們的私服上去。據我研究中知道的jar就有:

最新版SpringBoot結合ProGuard實作代碼混淆
注意:不連外網配置maven中央倉庫的話,少了jar你們會很頭疼的。而且不止net.sf.proguard相關包,還包括了com.guardsquare.proguard-base 和 com.guardsquare.proguard-core 相關的jar,是以真的連外網下包很重要!!!!

推薦一個IDEA解決maven引用沖突的插件:Maven Helper

2.相關異常解決

  • idea A required class was missing … org/apache/tools/ant/BuildListener

    問題原因:

    這個問題就是上面提到的因為apache的編譯用了一個ant-1.9.3的包,這個是級聯引用的,開始我是内網maven私服,單純的引入net.sf.proguard相關和com.github.wvengen相關的jar還是會缺少很多jar

    解決方案:

    連上外網,配置你的maven的setting.xml 的mirror鏡像位址,配置成Maven中央倉庫的位址,将相關的jar都下下來,然後再通過指令把你本地maven倉庫的jar上傳到私服去

  • Can’t process class [META-INF/versions/9/org/apache/logging/log4j/util/Base64Util.class]
  • Can’t process class [META-INF/versions/11/module-info.class]

    問題原因

    這個問題的原因有很多方面,最主要的就是我們的jdk版本是1.8,我最開始用的ProGuard是5.3.3版本,然而我們SpringBoot的版本是2.3.3版本,SpringBoot2.3.3版本太新了,裡面引用的相關包都是java9和java11的版本,這樣ProGuard在讀jar的時候會無法識别。這些問題在提升Proguard版本到6.2.2之後都解決了

    解決方案

    開始我的解決方案是忽略這些相關的jar, 例如在pom.xml的option配置:

<option>-libraryjars  ${settings.localRepository}/com/zaxxer/HikariCP/3.4.5/HikariCP-3.4.5.jar(META-INF/versions/11/module-info.class)</option>           

複制

但是我這樣配置之後,重新打包會提示:

  • The same input jar [E:\maven\repo\com\zaxxer\HikariCP\3.4.5\HikariCP-3.4.5.jar] is specified twice.

    解決方案:參考

    而且我還嘗試了maven引用的時候排除這些高版本的級聯引用jar,單獨引用低版本,但最終還是因為太繁瑣而放棄了。直接提升Proguard版本到6.2.2 這些讀jar的版本問題就解決了。

  • Annotation-specified bean name ‘a’ for bean class

    問題原因:

    出現這個問題主要還是混淆之後,bean重名了,spring預設是把類名的首字母小寫加載到容器裡面,我們混淆類名之後,就容易造成beanName重複。

    解決方案:

    慶幸的是,我們可以通過改變spring加載bean的命名政策來解決這個問題,把包名帶上,同時在擷取Spring上下文getBean的時候,加上包名路徑即可

    啟動類配置,具體如下:

@SpringBootApplication
public class CcnyApplication{

	public static class CustomGenerator implements BeanNameGenerator {

		@Override
		public String generateBeanName(BeanDefinition definition, BeanDefinitionRegistry registry) {
			return definition.getBeanClassName();
		}
	}

	public static void main(String[] args) {
		SpringApplicationBuilder sab=new SpringApplicationBuilder(CcnyApplication.class)
				.beanNameGenerator(new CustomGenerator());
		//這裡如果想列印你加載的Spring的bean,可以這樣做:
		ApplicationContext ac =sab.run(args);
		Arrays.stream(ac.getBeanDefinitionNames()).forEach(System.out::println);
	}
}           

複制

這樣配置,你啟動的時候就能看到加載的所有的beanName(這裡Service會帶上package路徑)

其他地方getBean的用法:

//這裡的packagePath = com.jingchen.ccny.service
CallBackGuiService callBackGuiService = (CallBackGuiService) SpringUtil.getBean(packagePath+serviceName);
                    callBackResult = callBackGuiService.excute(convertMap);           

複制

這樣你就能正常的擷取到Spring容器加載的beanName了

注意事項

  • 基本上影響打包和啟動的就上面一些問題了,其他的就是你們項目裡面的細節了,
  • 比如DAO要保留,要和mybatis裡面的Mapper映射對應,DAO裡面的方法傳參要改為map或者實體,另外序列化後的實體要保留
  • Controller裡面的方法入參,如果用了實體,這部分實體也要保留(保證其變量不會被混淆,不然傳值收不到)
  • 另外就是你們spring相關的XML裡面,如果單獨配置了Bean和Bean屬性的,這類bean要保留,不能被混淆
  • 我這裡保留了所有的接口和接口裡面的方法,已經我們自定義的抽象類BaseService裡面的方法名不會被混淆,這些你們可以自己定義,而且我這裡定義了有标注@Component的類也保留類名,按照我上面的配置,基本上可以不用重新建構beanName。正常的application啟動就完事了
  • 其他的沒了,就看你們還有沒有什麼特定的類不能被混淆,以及你們要混淆的力度(我們的要求是保留所有類名、接口資訊和抽象類資訊,除此之外的所有類和方法都被混淆!)

總的來說花了兩天時間,有這樣的成果也是值得高興的,前一天解決jar沖突的比較多,主要原因就是最開始XX架構師搭建這個項目采用最新的SpringBoot版本,jdk确是1.8 , 很多不相容。

來個最終的效果圖吧:

最新版SpringBoot結合ProGuard實作代碼混淆