jakarta-ee - 如何防止JavaEE 6 .war文件的反向工程？

Question

我们需要保护几个JavaEE 6应用程序(.war文件)以防止进行逆向工程，但是似乎没有很多可用的选项。

我喜欢在JarCrypt/JInstaller产品中使用加密的.jar文件(SJAR)的想法，但是尚不清楚JarCrypt/JInstaller是否可以在JavaEE 6应用程序中工作。像Glassfish3.1这样的服务器。加密的SJAR文件必须由 native 库使用自定义类加载器解密，因此显然我必须向Glassfish添加自定义类加载器。

有没有人使用过JInstaller/JarCrypt技术？它们是否在Application Server中工作？

我也研究过混淆，但是对于JavaEE应用程序，存在很多问题。我将不得不独自保留所有Web服务和JNDI查找。使用a.b.c.MyClass.class之类的东西(即创建log4j Loggers)是有问题的。读取日志文件变得困难。对于所有这些问题，混淆处理几乎无法保护我们的代码。

我已经尝试过Proguard，但显然是can't deal with the JavaEE 6 libraries。

还有其他选择吗？还是我有所有其他选择？

谢谢。

Answer 1

您是否正在将这些应用程序交付给将在其基础结构上运行该应用程序的第三方？然后，加密根本无法为您提供帮助，因为JVM无法执行加密的字节码和it is trivial to retrieve the loaded class files from a running app。

看一看GuardIT for Java-到目前为止，我还没有使用过它，但是至少供应商声称它是专门为保护Java Web应用而设计的。

如果您的应用程序在Tomcat上运行，则可以将其编译为 native 代码。还是他们需要完整的Java EE应用服务器？