java - 用于第三方集成的两种方式密码加密

Question

我的代码需要连接到 IMAP 和 SMTP 服务器以定期发送和接收电子邮件，目前每 3 分钟左右发送一次。典型的用户流程如下

1. 登录
2. 通过输入您的 IMAP 和 SMTP 详细信息(包括电子邮件 ID 和密码)来集成您的电子邮件。
3. 转到数据

在后台，我运行一个quartz调度程序，它定期从IMAP服务器提取电子邮件。 Web UI 和quartz 调度程序在单独的VM 中运行，并在REST 上相互通信。

在这种情况下保护用户电子邮件凭据的好方法是什么？一种散列方法无济于事，因为我再也不想向用户询问他的密码，但我需要提供凭据才能在 IMAP 上连接

Answer 1

当然，确保密码安全的最佳方法是“不返回原始密码”，但这超出了本问题的范围:-)

话虽如此，最好的选择是使用仅存在于服务器上(但不与应用程序一起部署)的私钥在应用程序代码端加密密码。你可以看一下Jasypt，它是一个Java加密工具。此外，您可能需要考虑将 key 的密码分成两部分:一部分来自属性文件内的某个配置文件，另一部分可能来自数据库本身。