使用 ClassFinal 对 java class 文件进行加密防止反编译

最新推荐文章于 2024-12-04 11:00:00 发布

原创最新推荐文章于 2024-12-04 11:00:00 发布 · 2k 阅读

23 ·

CC 4.0 BY-SA版权

文章标签：

#java #开发语言

微服务同时被 2 个专栏收录

13 篇文章

订阅专栏

Nacos

1 篇文章

订阅专栏

ClassFinal 是一款 java class文件安全加密工具，支持直接加密 jar 包或 war 包，无需修改任何项目代码，兼容 spring-framework；可避免源码泄漏或字节码被反编译

特点

无需修改原项目代码，只要把编译好的jar/war包用本工具加密即可
运行加密项目时，无需求修改tomcat，spring等源代码
支持普通jar包、springboot jar包以及普通java web项目编译的war包
支持spring framework、swagger等需要在启动过程中扫描注解或生成字节码的框架
支持maven插件，添加插件后在打包过程中自动加密
支持加密WEB-INF/lib或BOOT-INF/lib下的依赖jar包
支持绑定机器，项目加密后只能在特定机器运行
支持加密springboot的配置文件

官网：https://github.com/roseboy/classfinal

国内 gitee：https://gitee.com/roseboy/classfinal

1、使用命令进行加密
1.1、加密
官网下载加密 jar 包 classfinal-fatjar.jar

笔者使用国内 gitee，找到下图位置，点击下载

下载完成后得到 classfinal-fatjar-1.2.1.jar

下面笔者使用 IDEA 新建一个 SpringBoot 项目测试字节码加密

项目名为 demo

SpringBoot版本 2.7.16，只选一个 web 依赖

创建完成的项目

pom.xml 文件

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.7.16</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.wsjzzcbq</groupId>
    <artifactId>demo</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>demo</name>
    <description>Demo project for Spring Boot</description>
    <properties>
        <java.version>1.8</java.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
 
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>
 
    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>
 
</project>

application.properties 文件

server.port=80
name=Have a happy heart

SpringBoot 启动类

package com.wsjzzcbq.demo;
 
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
 
@SpringBootApplication
public class DemoApplication {
 
    public static void main(String[] args) {
        SpringApplication.run(DemoApplication.class, args);
    }
 
}

测试代码 DemoController

package com.wsjzzcbq.demo.controller;
 
import org.springframework.beans.factory.annotation.Value;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
 
/**
 * DemoController
 *
 * @author wsjz
 * @date 2023/09/27
 */
@RestController
public class DemoController {
 
    @Value("${name}")
    private String name;
 
    @RequestMapping("/demo")
    public String demo() {
        return name;
    }
}

将项目打成 jar 包

打开项目目录下的 target 目录，找到 jar 包

将 jar 包复制到 classfinal-fatjar-1.2.1.jar 所在的目录进行加密

加密命令

java -jar classfinal-fatjar-1.2.1.jar -file demo-0.0.1-SNAPSHOT.jar -packages com.wsjzzcbq.demo -cfgfiles application.properties -pwd 123456 -Y
或

java -jar classfinal-fatjar-1.2.1.jar -file demo-0.0.1-SNAPSHOT.jar -packages com.wsjzzcbq.demo -cfgfiles application.properties -pwd 123456
上面的命令比下面的多了一个 -Y，其意思是无需确认

参数说明
-file 加密的jar/war完整路径
-packages 加密的包名(可为空,多个用","分割)
-libjars jar/war包lib下要加密jar文件名(可为空,多个用","分割)
-cfgfiles 需要加密的配置文件，一般是classes目录下的yml或properties文件(可为空,多个用","分割)
-exclude 排除的类名(可为空,多个用","分割)
-classpath 外部依赖的jar目录，例如/tomcat/lib(可为空,多个用","分割)
-pwd 加密密码，如果是#号，则使用无密码模式加密
-code 机器码，在绑定的机器生成，加密后只可在此机器上运行
-Y 无需确认，不加此参数会提示确认以上信息

上面的命令对项目根 package com.wsjzzcbq.demo，和配置文件 application.properties 进行加密

在需要加密的 jar 包的目录打开 cmd 窗口，执行上面的加密命令，对 jar 进行加密

1.2、反编译测试
这里笔者使用 jd-gui 进行反编译

jd-gui 官网：http://java-decompiler.github.io/

下载 windows 版本

下载后解压

双击打开 jd-gui.exe

选择加密后的 jar

反编译查看

application.properties 文件为空

DemoController的 demo 方法为空

2、使用 maven 插件进行加密
在需要加密的项目 pom.xml 文件中添加 classfinal-maven-plugin 插件

            <plugin>
                <groupId>net.roseboy</groupId>
                <artifactId>classfinal-maven-plugin</artifactId>
                <version>${classfinal.version}</version>
                <configuration>
                    <password>123456</password><!--加密打包之后pom.xml会被删除，不用担心在jar包里找到此密码-->
                    <packages>com.wsjzzcbq.demo</packages>
                    <cfgfiles>application.properties</cfgfiles>
                </configuration>
                <executions>
                    <execution>
                        <phase>package</phase>
                        <goals>
                            <goal>classFinal</goal>
                        </goals>
                    </execution>
                </executions>
            </plugin>

classfinal.version 是 1.2.1

完整 pom.xml 文件

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.7.16</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.wsjzzcbq</groupId>
    <artifactId>demo</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>demo</name>
    <description>Demo project for Spring Boot</description>
    <properties>
        <java.version>1.8</java.version>
        <classfinal.version>1.2.1</classfinal.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
 
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>
 
    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
            <plugin>
                <groupId>net.roseboy</groupId>
                <artifactId>classfinal-maven-plugin</artifactId>
                <version>${classfinal.version}</version>
                <configuration>
                    <password>123456</password><!--加密打包之后pom.xml会被删除，不用担心在jar包里找到此密码-->
                    <packages>com.wsjzzcbq.demo</packages>
                    <cfgfiles>application.properties</cfgfiles>
                </configuration>
                <executions>
                    <execution>
                        <phase>package</phase>
                        <goals>
                            <goal>classFinal</goal>
                        </goals>
                    </execution>
                </executions>
            </plugin>
        </plugins>
    </build>
 
</project>

添加 classfinal-maven-plugin 插件后可直接打包出加密的 jar

3、运行加密后的 jar
运行命令

java -javaagent:demo-0.0.1-SNAPSHOT-encrypted.jar="-pwd 123456" -jar demo-0.0.1-SNAPSHOT-encrypted.jar
运行测试

浏览器访问 http://localhost/demo

至此完