MyBatis-Plus拦截器对敏感数据实现加密

做课程项目petstore时遇到需要加密属性的问题，而mybatis-plus为开发者提供了拦截器的相关接口，用于与数据库交互的过程中实现特定功能，本文主要介绍通过mybatis-plus的拦截器接口自定义一个拦截器类实现敏感数据如用户密码的加密功能，即实现在dao层写入数据库时传入明文，而数据库中存储的是密文。由于加密算法有多种，这里不展示具体的加密步骤，主要讨论拦截器的构建。

一、定义注解

自定义相关注解，将需要加密的字段及其所在的实体类进行标注，方便拦截器拦截时的判断。这里定义了两个注解(分别形成两个不同的文件)，@sensitivedata和@sensitivefield，分别用于注解实体类、实体类中需要加密的属性。注意，注解@target内elementtype取值为type时表示该注解用于注解类，取值为field表示该注解用于注解类的属性。

package org.csu.mypetstore.api.utils.encrypt.annotation;

import java.lang.annotation.*;

@inherited
@target({ elementtype.type })
@retention(retentionpolicy.runtime)
public @interface sensitivedata {
}

二、定义拦截器类

自定义的拦截器类需要实现mybatis的interceptor类，主要是重写三个方法public object intercept(invocation invocation)、public object plugin(object target)、public void setproperties(properties properties)。这三个方法前两个我们需要使用到，第三个方法这里暂时用不到。

为我们创建的拦截器类打上@component注解使之被spring容器所管理；打上@intercepts注解用于标识拦截器开始拦截的情况(执行sql语句过程中的哪个位置)。mybatis可以在执行语句的过程中对特定对象进行拦截调用，主要有以下四种情况：

• executor (update, query, flushstatements, commit, rollback, gettransaction, close, isclosed) 处理增删改查
• parameterhandler (getparameterobject, setparameters) 设置预编译参数
• resultsethandler (handleresultsets, handleoutputparameters) 处理结果
• statementhandler (prepare, parameterize, batch, update, query) 处理sql预编译，设置参数
  

通过@intercepts注解内部的@signature注解进行配置，有三个配置选项分别为type、method、args，type用于指定上述四类中的某一类，method用于指定该类型中的哪个方法执行时被拦截，args用于接收被拦截方法的参数。观察注解@signature的代码可以加深理解：

这里选取parameterhandler类型的setparameters方法，在每次执行sql之前设置参数前进行拦截加密。整个拦截器类重写intercept方法用于加密、重写plugin方法用于将该拦截器接入拦截器链(这里可以选择不重写plugin方法，因为interceptor类中定义的该方法默认内容与我们重写的内容是一样的)，代码如下：

package org.csu.mypetstore.api.utils.encrypt;

import lombok.extern.slf4j.slf4j;
import org.apache.ibatis.binding.mappermethod;
import org.apache.ibatis.executor.parameter.parameterhandler;
import org.apache.ibatis.plugin.*;
import org.csu.mypetstore.api.utils.encrypt.annotation.sensitivedata;
import org.springframework.core.annotation.annotationutils;
import org.springframework.stereotype.component;

import java.lang.reflect.field;
import java.sql.preparedstatement;
import java.util.map;
import java.util.objects;
import java.util.properties;

/**
 * 加密拦截器：插入数据库之前对敏感数据加密
 * 场景：插入、更新时生效
 * 策略：
 *   - 在敏感字段所在实体类上添加@sensitivedata注解
 *   - 在敏感字段上添加@sensitivefield注解
 *
 * @author csu_cangkui
 * @date 2021/8/14
 */
@slf4j
@component
@intercepts({
        @signature(type = parameterhandler.class, method = "setparameters", args = preparedstatement.class)
})
public class encryptinterceptor implements interceptor {

    // 更新时的参数名称，parammap的key值
    private static final string crypt = "et";

    @override
    public object intercept(invocation invocation) throws throwable {
        try {
            // @signature 指定了 type= parameterhandler.class 后，这里的 invocation.gettarget() 便是parameterhandler
            // 若指定resultsethandler，这里则能强转为resultsethandler
            parameterhandler parameterhandler = (parameterhandler) invocation.gettarget();
            // 获取参数对像，即对应mybatis的 mapper 中 paramstype 的实例
            field parameterfield = parameterhandler.getclass().getdeclaredfield("parameterobject");
            parameterfield.setaccessible(true);
            // 取出参数实例
            object parameterobject = parameterhandler.getparameterobject();
            if (parameterobject != null) {
                object sensitiveobject = null;
                if (parameterobject instanceof mappermethod.parammap) {
                    // 更新操作被拦截
                    map parammap = (map) parameterobject;
                    sensitiveobject = parammap.get(crypt);
                } else {
                    // 插入操作被拦截，parameterobject即为待插入的实体对象
                    sensitiveobject = parameterobject;
                }
                // 获取不到数据就直接放行
                if (objects.isnull(sensitiveobject)) return invocation.proceed();
                // 校验该实例的类是否被@sensitivedata所注解
                class<?> sensitiveobjectclass = sensitiveobject.getclass();
                sensitivedata sensitivedata = annotationutils.findannotation(sensitiveobjectclass, sensitivedata.class);
                if (objects.nonnull(sensitivedata)) {
                    // 如果是被注解的类，则进行加密
                    // 取出当前当前类所有字段，传入加密方法
                    field[] declaredfields = sensitiveobjectclass.getdeclaredfields();
                    encryptutil.encrypt(declaredfields, sensitiveobject, encryptutil.encrypt_md5_mode);
                }
            }
            return invocation.proceed();
        } catch (exception e) {
            // 未作更多处理，加密失败仍然会放行让数据进入数据库
            log.error("加密失败", e);
        }
        return invocation.proceed();
    }

    @override
    public object plugin(object target) {
        // 将这个拦截器接入拦截器链
        return plugin.wrap(target, this);
    }

    @override
    public void setproperties(properties properties) {}
}

encryptutil类的encrypt加密方法的大致处理流程：

static <t> t encrypt(field[] declaredfields, t sensitiveobject, final int encrypt_mode) throws illegalaccessexception {
    for (field field : declaredfields) {
        // 取出所有被sensitivefield注解的字段
        sensitivefield sensitivefield = field.getannotation(sensitivefield.class);
        if (objects.nonnull(sensitivefield)) {
            field.setaccessible(true);
            object targetproperty = field.get(sensitiveobject);
            // 仅讨论对字符串类型的字段的加密
            if (targetproperty instanceof string) {
                // 取得源字段值
                string value = (string) targetproperty;
                string valueencrypt;
                if (encrypt_mode == encrypt_md5_mode) {
                    // 使用md5加密算法进行加密
                    valueencrypt = encryptutil.md5encrypt(value);
                } else if (encrypt_mode == encrypt_aes_mode) {
                    // 使用aes加密算法进行加密
                    valueencrypt = encryptutil.aesencrypt(value);
                } else {
                    valueencrypt = value;
                }
                // 将加密完成的字段值放入待用参数对象
                field.set(sensitiveobject, valueencrypt);
            }
        }
    }
    return sensitiveobject;
}

构建过程中主要是使用了java的反射机制来处理。在构建的过程中需要注意的一点是，我们需要在更新、插入时进行加密，但是网上很多方法都是默认为插入时加密，所以取出来的parameterobject对象都是默认为这个表对应的实体类。但是更新操作不同，更新操作时打印parameterobject对象的类型可看到是org.apache.ibatis.binding.mappermethod$parammap，即取出的parameterobject对象是一个parammap类，而其中"et"的key对应的value才是我们需要的实体类，因此这里需要通过判断parameterobject对象的类型来分类进行处理。

如果选用的是双向加密算法(可逆)，还可以设计一个用于解密的拦截器类进行处理，选取resultsethandler类型的handleresultsets方法，在处理结果集之前进行解密，解密的情况根据具体需求来确定，可以基于selectlist方法、基于selectone方法等等。

package org.csu.mypetstore.api.utils.encrypt;

import lombok.extern.slf4j.slf4j;
import org.apache.ibatis.executor.resultset.resultsethandler;
import org.apache.ibatis.plugin.*;
import org.csu.mypetstore.api.utils.encrypt.annotation.sensitivedata;
import org.springframework.core.annotation.annotationutils;
import org.springframework.stereotype.component;

import java.beans.statement;
import java.util.arraylist;
import java.util.list;
import java.util.objects;
import java.util.properties;

@slf4j
@component
@intercepts({
        @signature(type = resultsethandler.class, method = "handleresultsets", args = statement.class)
})
public class decryptinterceptor implements interceptor {
    @override
    public object intercept(invocation invocation) throws throwable {
        object resultobject = invocation.proceed();
        try {
            if (objects.isnull(resultobject)) return null;
            if (resultobject instanceof arraylist) {
                // 基于selectlist
                list resultlist = (arraylist) resultobject;
                if (!resultlist.isempty() && needtodecrypt(resultlist.get(0))) {
                    for (object result : resultlist) {
                        //逐一解密
                        encryptutils.decrypt(result);
                    }
                }
            } else {
                // 基于selectone
                if (needtodecrypt(resultobject)) encryptutils.decrypt((string) resultobject);
            }
            return resultobject;
        } catch (exception e) {
            log.error("解密失败", e);
        }
        return resultobject;
    }

    // 判断是否是需要解密的敏感实体类
    private boolean needtodecrypt(object object) {
        class<?> objectclass = object.getclass();
        sensitivedata sensitivedata = annotationutils.findannotation(objectclass, sensitivedata.class);
        return objects.nonnull(sensitivedata);
    }

    @override
    public object plugin(object target) {
        // 将这个拦截器接入拦截器链
        return plugin.wrap(target, this);
    }

    @override
    public void setproperties(properties properties) {}
}

到此这篇关于mybatis-plus拦截器对敏感数据实现加密的文章就介绍到这了,更多相关mybatis-plus拦截器对敏感数据加密内容请搜索以前的文章或继续浏览下面的相关文章希望大家以后多多支持！