java - 如何在java中加密敏感的SQL信息

Question

假设我想在我的Java应用程序中连接到oracle数据库，我必须写下jdbc url并输入该数据库的用户名和密码，我不知道如何在没有来源的情况下破解这个密码程序，但是我必须加密吗？有没有办法加密？那么sql注入(inject)呢？

Answer 1

您并没有真正提供足够的信息来了解您的全部情况，但我会尝试分解您可能想知道的一些一般事项。首先，数据库驱动程序需要提供未加密的用户名/密码，因此，如果您担心内存中的信息未加密，那么它并不会真正产生影响。通常有比尝试扫描内存中的用户名/密码字符串更简单的方法来访问数据库。

如果您正在制作一个将分发字节码(.class 文件或 .jar 文件)的应用程序，那么人们在技术上可以遍历该字节码并找到硬编码字符串，例如用户名/password(但即使您有字符串，也可能很难确定它们到底是什么)。

如果您正在制作一个将在网络服务器上运行的应用程序，那么任何人都不应访问您的字节码或内存，因此这实际上是不可能的(除非他们已经黑客入侵)您的服务器事先以某种方式)让他们获得任何这些信息。然而，您可能希望将数据库连接信息外部化在属性文件中，以便管理软件的人员可以轻松配置它，尽管根据您的要求，情况可能并非如此。

SQL 注入(inject)是一个完全不同的问题，对于我来说有点太宽泛了，无法在这里讨论。我建议您阅读处理它的方法，但很大程度上它会归结为使用准备好的语句，而不仅仅是执行 SQL(这通常也会提高您的性能)。