Spring boot多模块项目使用proguard实现代码混淆

如果对你有帮助, 请点击💖喜欢💖鼓励一下我这个臭弟弟

Spring boot多模块项目使用proguard实现代码混淆

前置知识: proguard基本概念/配置

代码混淆前述

代码混淆常见于安卓的apk文件, 服务端的代码因为不易被普通用户接触, 所以混淆不多. 但是某些场景下, 比如将项目部署到客户机器上, 就会有泄露代码逻辑的风险. 不过需要了解的是, 使用proguard混淆代码只能增加阅读和理解的难度, 并不能百分百保证代码安全.

多模块代码混淆方案

1. 选择需要混淆的模块
2. 添加maven proguard插件
3. 添加proguard配置文件, 设置需要保留的类信息

多模块代码混淆操作

采用以下项目目录为例:
demo_project
|-module_A
|-module_B
|-module_C
其中, 模块A和模块B是代码逻辑部分, 需要进行混淆

1. 在模块A和模块B的pom.xml中增加如下插件:

<build>
        <plugins>
            <plugin>
                <groupId>com.github.wvengen</groupId>
                <artifactId>proguard-maven-plugin</artifactId>
                <executions>
                    <execution>
                        <phase>package</phase>
                        <goals><goal>proguard</goal></goals>
                    </execution>
                </executions>
                <configuration>
                    <proguardVersion>6.0.3</proguardVersion>
                    <!-- 要混淆的jar包名 -->
                    <injar>${project.build.finalName}.jar</injar>
                    <!-- 混淆之后的jar包名 -->
                    <outjar>${project.build.finalName}.jar</outjar>
                    <obfuscate>true</obfuscate>
                    <!-- 指定该模块是否是项目的一部分 -->
                    <attach>true</attach>
                    
 <!-- proguard配置文件 -->                   <proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>
                    <!-- 依赖的jar包 -->
                    <libs>
                        <lib>${java.home}/lib/rt.jar</lib>
                    </libs>
                </configuration>
                <dependencies>
                    <dependency>
                        <groupId>net.sf.proguard</groupId>
                        <artifactId>proguard-base</artifactId>
                        <version>6.0.3</version>
                    </dependency>
                </dependencies>
            </plugin>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

其中的attach=true, 表明打包后的jar是项目的一部分. 混淆之后的类名会变成a, b, c....等, 如果没有这个配置, 当使用@Resource通过bean的name引用bean的使用, 会和其他模块混淆之后的bean重名, 造成错误.

使用attach=true的话, 打包之后的jar文件名会带-small后缀.

2. proguard配置文件

-dontshrink ##默认是开启的，这里关闭shrink，即不删除没有使用的类/成员
-dontoptimize ##默认是开启的，这里关闭字节码级别的优化
-useuniqueclassmembernames ##对于类成员的命名的混淆采取唯一策略
-adaptclassstrings ## 混淆类名之后，对使用Class.forName('className')之类的地方进行相应替代
-dontusemixedcaseclassnames ## 混淆时不生成大小写混合的类名，默认是可以大小写混合

#保留注解
-keepattributes *Annotation*
#保留类名, 两个*包括子包
-keepnames public class com.test.**
#保留controller类的方法名
-keep class com.test.controller.* {*;}
#指定要保持的目录结构，默认情况下会删除所有目录以减小jar的大小。
-keepdirectories
#保留参数名字
-keepparameternames

3. 代码中需要注意的地方
   ①. controller中如果方法的参数使用@ PathVariable注解, 需要保证参数名不会被混淆
   ②. 如果bean使用@Resource注入, 需要保证能根据bean的name找到bean, 最好是定义和使用bean时指定name属性
   ③. 如果bean使用@Autowired注入, 需要保证同类型的bean只有1个
   ④. 如果使用aop, 需要保证Pointcut定义的方法能够被找到
   ⑥. 如果类的属性需要用到setter/getter, 要保证方法名不会被混淆
   ⑦. 如果定时任务以反射方式配置执行, 需要保证方法名不会被混淆
4. 混淆之后
   混淆之后, 会在target目录下生成未混淆的jar包和混淆之后的jar包[文件名带-small], proguard_map.txt[混淆前后映射], proguard_seed.txt[未参与混淆的类和成员]
   混淆之后的类文件中的变量/方法名/类名变成了A, a, b, c, v1....等
5. 引用混淆之后的jar

        <dependency>
            <groupId>com.test</groupId>
            <artifactId>module_A</artifactId>
            <classifier>small</classifier>
            <version>1.0</version>
        </dependency>

如果对你有帮助, 请点击💖喜欢💖鼓励一下我这个臭弟弟