1. 问题背景与核心需求
作为数据库开发人员，DBeaver几乎是日常必备的数据库管理工具。它支持多种数据库类型，能够保存连接配置信息，极大提高了工作效率。但这也带来一个常见痛点——当我们长时间使用自动保存的密码功能后，很容易忘记实际设置的数据库密码。
上周我就遇到了这样的尴尬场景：需要将测试环境的MySQL连接信息共享给新同事，却发现早已不记得当初设置的密码。由于这个账号权限较高，直接重置密码会影响正在运行的定时任务。于是我开始研究如何从DBeaver的配置文件中找回已保存的密码。
2. 密码存储机制解析
2.1 配置文件位置
DBeaver将连接配置信息存储在用户目录下的配置文件中。具体路径根据操作系统有所不同：
- Windows:
%APPDATA%\DBeaverData\workspace6\.metadata\.plugins\org.jkiss.dbeaver.core\credentials-config.json - macOS:
~/Library/DBeaverData/workspace6/.metadata/.plugins/org.jkiss.dbeaver.core/credentials-config.json - Linux:
~/.local/share/DBeaverData/workspace6/.metadata/.plugins/org.jkiss.dbeaver.core/credentials-config.json
注意：路径中的"workspace6"可能因DBeaver版本不同而变化，建议在用户目录下搜索"credentials-config.json"文件。
2.2 加密原理
DBeaver使用AES-128-CBC加密算法保护存储的密码。加密过程有几个关键特点：
- 使用固定初始化向量(IV)：
0000000000000000 - 加密密钥基于本地用户信息生成
- 每个加密结果都会添加"dbeaver"前缀作为标识
这种设计意味着：
- 同一台机器上加密的密码可以解密
- 配置文件不能直接复制到其他机器使用
- 加密强度依赖于本地环境的安全性
3. 密码找回实操步骤
3.1 准备工作
需要安装以下工具：
- OpenSSL（建议1.1.1以上版本）
- 文本编辑器（查看JSON配置）
- 命令行终端
对于Windows用户，可以从官方下载64位MinGW版OpenSSL，或者通过包管理器安装：
bash复制# 使用Chocolatey安装
choco install openssl
3.2 提取加密密码
- 打开credentials-config.json文件
- 搜索目标数据库连接名称
- 找到"configuration/password"字段的值
示例片段：
json复制{
"credentials": {
"mysql://192.168.1.100:3306/prod_db": {
"configuration": {
"password": "dbeaver:7h3s1sMy3ncrypT3dP4ssw0rd"
}
}
}
}
3.3 解密密码
使用OpenSSL进行解密的命令格式：
bash复制echo "加密密码部分" | openssl enc -d -aes-128-cbc -md md5 -a -A -iv 0000000000000000 -K "密钥"
关键参数说明：
-d：解密模式-aes-128-cbc：指定加密算法-md md5：密钥生成方式-a：输入为base64编码-A：输入为单行-iv：初始化向量-K：16字节密钥（16进制格式）
3.4 获取解密密钥
密钥生成逻辑：
- 获取系统用户名（whoami命令）
- 获取计算机名（hostname命令）
- 拼接为字符串："user@hostname"
- 计算MD5哈希值
- 取前16字节作为密钥
自动化脚本示例（Linux/macOS）：
bash复制USER_HOST=$(whoami)@$(hostname)
KEY=$(echo -n $USER_HOST | md5sum | cut -d' ' -f1 | head -c 32)
echo "密钥: $KEY"
Windows PowerShell版本：
powershell复制$user = $env:USERNAME
$hostname = $env:COMPUTERNAME
$input = "$user@$hostname"
$hash = (Get-FileHash -Algorithm MD5 -InputStream ([IO.MemoryStream]::new([Text.Encoding]::UTF8.GetBytes($input)))).Hash
$key = $hash.Substring(0,32)
Write-Host "密钥: $key"
4. 完整解密流程示例
假设我们有以下加密密码：
dbeaver:U2FsdGVkX1+3x7bZ6JjJmHw4J5Yz7vRtJ6W7Q9Xa0BQ=
- 去除"dbeaver:"前缀
- 获取密钥（假设为：b5a2c3849059e8e6d9e7f4a1b3c5d6e7）
- 执行解密命令：
bash复制echo "U2FsdGVkX1+3x7bZ6JjJmHw4J5Yz7vRtJ6W7Q9Xa0BQ=" | openssl enc -d -aes-128-cbc -md md5 -a -A -iv 0000000000000000 -K b5a2c3849059e8e6d9e7f4a1b3c5d6e7
输出结果即为原始密码。
5. 常见问题与解决方案
5.1 解密失败的可能原因
-
密钥不匹配：
- 确认用户名和主机名拼接正确
- 检查MD5哈希计算是否正确
- 确保使用完整32字符密钥
-
OpenSSL版本问题：
- 某些旧版本可能不支持参数
- 建议使用1.1.1以上版本
-
密码格式错误：
- 确保去除"dbeaver:"前缀
- 检查是否有额外的空格或换行符
5.2 自动化脚本
对于需要频繁解密的情况，可以创建脚本自动化流程：
bash复制#!/bin/bash
ENCRYPTED=$1
USER_HOST=$(whoami)@$(hostname)
KEY=$(echo -n $USER_HOST | md5sum | cut -d' ' -f1 | head -c 32)
CIPHER=${ENCRYPTED#dbeaver:}
echo "解密结果:"
echo $CIPHER | openssl enc -d -aes-128-cbc -md md5 -a -A -iv 0000000000000000 -K $KEY
使用方法：
bash复制./decrypt_dbeaver.sh "dbeaver:U2FsdGVkX1+3x7bZ6JjJmHw4J5Yz7vRtJ6W7Q9Xa0BQ="
5.3 安全注意事项
- 解密后的密码应妥善保管，不要明文存储
- 定期清理命令行历史记录
- 考虑使用密码管理器替代自动保存功能
- 对于生产环境密码，建议使用团队密码管理方案
6. 进阶技巧与替代方案
6.1 密码导出功能
DBeaver企业版提供了密码导出功能：
- 打开"文件" → "导出"
- 选择"安全" → "密码库"
- 设置主密码保护导出文件
6.2 使用Jasypt加密
对于需要在配置文件中存储密码的场景，可以考虑使用Jasypt等专业加密工具：
java复制// Spring Boot配置示例
spring.datasource.password=ENC(加密后的密码)
6.3 连接配置备份
建议定期备份连接配置：
- 导出连接配置（不含密码）
- 单独记录重要密码
- 使用加密压缩包存储
7. 个人实践经验
在实际操作中，我发现几个值得注意的点：
-
团队协作时，如果多人需要使用相同连接，建议：
- 使用共享账号+单独权限分配
- 或者使用团队密码管理工具
-
对于关键生产数据库：
- 不要长期依赖自动保存密码
- 定期轮换密码并更新配置
-
当升级DBeaver版本时：
- 先导出连接配置
- 检查新版本是否修改了加密机制
-
如果遇到解密失败：
- 检查DBeaver版本是否变更了加密算法
- 确认没有手动修改过配置文件格式
这个方法不仅适用于MySQL，也同样适用于DBeaver支持的其他数据库类型，包括PostgreSQL、Oracle、SQL Server等。关键在于正确找到加密字符串和生成解密密钥。