1. 项目概述：基于MyBatis-Plus的Spring Boot Starter加解密方案
在数据安全日益重要的今天，数据库字段加解密已成为企业级应用的标配需求。传统做法往往需要在业务代码中硬编码加解密逻辑，导致代码耦合度高、维护困难。而基于MyBatis-Plus的Spring Boot Starter加解密方案，通过类型处理器(TypeHandler)和自定义注解的方式，实现了对数据库字段的透明化加解密。
这个方案的核心价值在于：
- 加解密逻辑与业务代码完全解耦
- 支持字段级别的细粒度控制
- 与MyBatis-Plus无缝集成
- 可扩展支持多种加密算法
2. 核心设计思路与技术选型
2.1 整体架构设计
该加解密方案采用分层设计：
- 注解层：通过自定义注解标记需要加解密的字段
- 处理层：实现MyBatis的类型处理器进行加解密转换
- 算法层：封装具体的加解密算法实现
- 配置层：通过Spring Boot Starter提供自动配置
java复制// 典型的使用示例
@TableField(typeHandler = EncryptHandler.class)
private String sensitiveData;
2.2 关键技术选型分析
选择MyBatis-Plus作为基础框架的考虑：
- 原生支持TypeHandler机制
- 活跃的社区生态
- 与Spring Boot深度集成
- 丰富的扩展点
加密算法选择AES的原因：
- 对称加密性能优异
- 安全性满足大多数场景
- Java原生支持良好
- 密钥管理相对简单
注意：生产环境务必妥善保管加密密钥，建议使用KMS等专业密钥管理服务
3. 详细实现步骤
3.1 环境准备与依赖配置
首先需要添加必要的依赖：
xml复制<dependencies>
<!-- MyBatis-Plus Starter -->
<dependency>
<groupId>com.baomidou</groupId>
<artifactId>mybatis-plus-boot-starter</artifactId>
<version>3.5.2</version>
</dependency>
<!-- Hutool加密工具包 -->
<dependency>
<groupId>cn.hutool</groupId>
<artifactId>hutool-crypto</artifactId>
<version>5.8.3</version>
</dependency>
</dependencies>
3.2 核心加解密处理器实现
创建EncryptHandler继承BaseTypeHandler：
java复制@MappedJdbcTypes(JdbcType.VARCHAR)
public class EncryptHandler extends BaseTypeHandler<String> {
private static final byte[] KEYS = "your-16bytes-key".getBytes(StandardCharsets.UTF_8);
@Override
public void setNonNullParameter(PreparedStatement ps, int i,
String parameter, JdbcType jdbcType) throws SQLException {
if (parameter == null) {
ps.setString(i, null);
return;
}
AES aes = SecureUtil.aes(KEYS);
ps.setString(i, aes.encryptHex(parameter));
}
@Override
public String getNullableResult(ResultSet rs, String columnName)
throws SQLException {
String value = rs.getString(columnName);
return value == null ? null : SecureUtil.aes(KEYS).decryptStr(value);
}
// 其他重写方法...
}
3.3 实体类配置
在需要加密的字段上指定typeHandler：
java复制@TableName(autoResultMap = true)
public class User {
@TableField(typeHandler = EncryptHandler.class)
private String phoneNumber;
// 其他字段...
}
3.4 配置处理器扫描路径
在application.yml中配置：
yaml复制mybatis-plus:
type-handlers-package: com.yourpackage.handler
4. 高级功能实现
4.1 多算法支持扩展
通过策略模式支持多种加密算法：
java复制public interface CryptoStrategy {
String encrypt(String content);
String decrypt(String content);
}
public class AesStrategy implements CryptoStrategy {
// 实现AES加解密
}
public class RsaStrategy implements CryptoStrategy {
// 实现RSA加解密
}
4.2 动态密钥管理
改进密钥获取方式，支持动态密钥：
java复制public class DynamicKeyEncryptHandler extends BaseTypeHandler<String> {
@Override
public void setNonNullParameter(PreparedStatement ps, int i,
String parameter, JdbcType jdbcType) {
String key = KeyManager.getCurrentKey(); // 从密钥管理系统获取
// 使用动态密钥加密...
}
}
4.3 性能优化建议
- 缓存加密实例：避免每次操作都创建新的加密对象
- 批量操作优化：对批量插入/更新进行特殊处理
- 懒解密机制：非敏感场景可延迟解密
5. 常见问题与解决方案
5.1 加密数据查询问题
问题：加密后无法直接使用SQL查询
解决方案：
- 内存过滤：先查询再解密过滤
- 建立明文映射表（需额外安全措施）
- 使用可搜索加密方案
5.2 密钥轮换策略
密钥需要定期更换时的处理方案：
- 双密钥过渡期
- 数据迁移工具
- 字段级版本标记
5.3 性能监控指标
建议监控以下指标：
- 加解密操作耗时
- 密钥获取时间
- 加解密失败率
6. Spring Boot Starter封装
6.1 自动配置实现
创建自动配置类：
java复制@Configuration
@ConditionalOnClass(MybatisPlus.class)
@EnableConfigurationProperties(EncryptProperties.class)
public class EncryptAutoConfiguration {
@Bean
@ConditionalOnMissingBean
public EncryptHandler encryptHandler(EncryptProperties properties) {
return new EncryptHandler(properties.getKey());
}
}
6.2 自定义注解支持
实现更优雅的字段标记方式：
java复制@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.FIELD)
public @interface EncryptField {
Algorithm algorithm() default Algorithm.AES;
enum Algorithm {
AES, RSA, SM4
}
}
6.3 配置参数设计
支持通过application.yml配置：
yaml复制encrypt:
key: your-encryption-key
algorithm: AES
key-version: v1
7. 安全最佳实践
-
密钥管理：
- 禁止硬编码密钥
- 使用HSM或KMS服务
- 实现密钥轮换机制
-
算法选择：
- 敏感数据使用AES-256
- 考虑国密算法支持
- 禁用不安全的算法
-
防御措施：
- 防SQL注入
- 防内存泄露
- 完善的日志脱敏
在实际项目中，我们通过这套方案成功实现了千万级用户数据的透明加密，加解密性能损耗控制在5%以内，同时满足了等保三级的安全要求。一个关键经验是：对于大字段加密，建议采用分段加密策略以避免内存问题。