java - Web 应用程序密码安全

Question

我的公司有一个 Java Web 应用程序，其数据库密码存储在属性文件中，我们需要保护该密码。我在谷歌上搜索并找到了 Jasypt 解决方案，但在我看来，这并不能真正解决问题，因为这需要另一个密码才能提供给应用程序，而且我不知道如何保护该密码。

Jasypt 的主要建议是将密码作为环境变量输入，这意味着在最好的情况下，我将启动应用程序，如下所示:

./myApp -D password=myPasswordDontHackPlz

这并不安全，因为这样做时您可以看到密码

ps -ef | grep myApp

我们也无法在需要时提供密码(通过网络或其他方式)，因为它本质上决定何时需要密码，而且它经常需要密码。

是否有任何解决方案，或者我是否要求一些不存在的神奇解决方案？我不喜欢 Jasypt，因为在我看来，它本质上只是一种混淆，而且我并不是在混淆之后，而是在这里寻找真正的安全性。

Answer 1

为什么不将密码放在一个属性文件中，该文件只能由运行 Web 应用程序的用户读取？ Web 应用程序在某个阶段需要知道 root 密码，因此显然您希望它能够读取/使用它。您想要的是其他人不能读取它，保护该文件就可以做到这一点。

这一切都假设您需要将密码外部化。如果您想让它更难获取，您可以将其硬编码到应用程序中，但是有权访问 JAR 的人始终可以反编译您的类。