如何修改JSON字符串中的敏感信息
修改json字符串中的敏感信息
项目要求把json字符串里面的敏感信息加密
比如手机号身份证之类,这就要求遍历json,并且覆盖所有的敏感key,原本以为挺难的,静下心来想了想,代码修修改改大约一个小时搞定了,其实是一个简单的递归,跟遍历一个目录并输出所有文件名一样
废话少说,直接贴代码和测试用例。
package com.ucredit.test; import com.alibaba.fastjson.json; import com.alibaba.fastjson.jsonarray; import com.alibaba.fastjson.jsonobject; /** * created by beibei on 18/1/24. */ public class jsontest { public static void main(string[] args) { string sa = "{'sa':'saas','sb':['sa','ds','sda'],'sc':{'dsa':'21'}}"; jsonobject jsonobject = json.parseobject(sa); system.out.println(changesensitivemsg(jsonobject).tojsonstring()); } //递归对象 private static jsonobject changesensitivemsg(jsonobject jsonobject) { for (string key : jsonobject.keyset()) { string json = jsonobject.getstring(key); if (isobject(json)) { jsonobject.put(key, changesensitivemsg(json.parseobject(json))); } else if (isarray(json)) { jsonobject.put(key, changesensitivemsg(json.parsearray(json))); } else { //这里才是最终覆盖敏感属性的操作 if (issensitivekey(key)) jsonobject.put(key, "测试"); } } return jsonobject; } //递归数组 private static jsonarray changesensitivemsg(jsonarray jsonarray) { for (int i = 0; i < jsonarray.size(); i++) { string value = jsonarray.getstring(i); if (isarray(value)) { jsonarray.set(i, changesensitivemsg(jsonarray.getjsonarray(i))); } else if (isobject(value)) { jsonarray.set(i, changesensitivemsg(json.parseobject(value))); } } return jsonarray; } //判断是否是对象,这个方法需要优化,遇到特殊字符相当占时间,可以根据json串首字母直接判断 private static boolean isobject(string str) { try { json.parseobject(str); return true; } catch (exception e) { return false; } } //判断是否是数组,这个方法需要优化,遇到特殊字符相当占时间,可以根据json串首字母直接判断 private static boolean isarray(string str) { try { json.parsearray(str); return true; } catch (exception e) { return false; } } //是否是敏感key public static boolean issensitivekey(string key) { return true; } }
清除敏感字符串内容
连接邮箱、短信等服务器信息中密码属于敏感信息,需要在内存中清除。常规做法是前台传递密码明文对应char[],使用完后把数组每个元素修改为0。
但是必须出现string的情况不适用,比如:连接邮箱服务器使用的用户密码;调用rest接口传递的json字符串包含密码明文。
分析
字符串为final类型,运行期间不可改变,涉及常量池,赋值为null并不会回收内存。但是new string不同,可以回收内存。但是jvm回收不及时,要是可以在使用完成后清除char[]内容,也可以做到不改变常量池中的内容。问题转化为如何清理new string内存?
解决思路
string只是一个引用,它的内容是char[] value,value为内部私有变量,不可以访问。
但是java反射可以搞定这件事,代码如下:
char[] chars = new char[] { 'a', 'a', 'a', 'a' }; string valuestr = new string(chars); system.out.println(valuestr); field field = valuestr.getclass().getdeclaredfield("value"); field.setaccessible(true); field.set(valuestr, new char[] { 0, 0, 0, 0 }); field.setaccessible(false); system.out.println(valuestr); system.out.println("aaaa"); system.out.println(new string(new char[] { 'a', 'a', 'a', 'a' }));
改变了私有变量为可访问权限,得到value,改变数组的值,然后再把权限设回去。加上打印常量池字符串和new string同样的内容,结果如下:
测试证明,这种方法是可行的,不会改变后面同样内容的字符串内容。通过查看源码,org.codehaus.jackson.map.objectmapper.writevalueasstring(object value) 方法,返回的字符串也是new string,所以也是适用的。经过测试,不会影响其它相同内容的json字符串。
这样,对于json字符串和new string都可以使用这样的方式清除敏感信息内容。但是需要注意的是:如果不是new出来的字符串,一旦修改了,就会影响常量池字符串内容,后果很严重。
以上为个人经验,希望能给大家一个参考,也希望大家多多支持。