最新版SpringBoot結合ProGuard實作代碼混淆

參考案例

1、Springboot+proguard+maven 混淆.
2、proguard-spring-boot-example
3、官方解釋
4、Proguard的Keep使用方法
5、ProGuard 最全混淆規則說明
6、ProGuard代碼混淆技術詳解
7、使用proguard混淆springboot代碼

前言

研究ProGuard也花了兩天時間，其實最主要的時間花在前面proguard讀取jar包的時候相關jar沖突的問題，但是總的來說不用拆分SpringBoot專案并且實作代碼混淆已經很舒服了，

ProGuard集成

1.maven的配置

具體配置如下：

<build>
		<finalName>${artifactId}</finalName>
		<plugins>
			<plugin>
				<groupId>com.github.wvengen</groupId>
				<artifactId>proguard-maven-plugin</artifactId>
				<executions>
					<execution>
						<phase>package</phase>
						<goals><goal>proguard</goal></goals>
					</execution>
				</executions>
				<configuration>
					<proguardVersion>6.2.2</proguardVersion>
					<injar>${project.build.finalName}.jar</injar>
					<outjar>${project.build.finalName}.jar</outjar>
					<!--<proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>-->
					<obfuscate>true</obfuscate>
					<options>
						<!-- 不做收縮（洗掉注釋、未被參考代碼）-->
						<option>-dontshrink</option>
						<!-- 不做優化（變更代碼實作邏輯）-->
						<option>-dontoptimize</option>
						<!--保持目錄結構，否則spring的自動注入無法使用-->
						<!--<option>-keepdirectories</option>-->
						<option>-keepattributes Exceptions,InnerClasses,Signature,Deprecated,
							SourceFile,LineNumberTable, *Annotation*,EnclosingMethod
						</option>
						<option>-adaptclassstrings</option>
						<option>
							<!-- 保護程式入口 -->
							 -keep class com.jingchen.ccny.CmepApplication { *; }
						</option>
						<option>-keepnames interface ** { *; }</option>
						<!-- 固定幾個類不能混淆-->
						<option>-keepnames class com.jingchen.ccny.base.BaseService { *; }</option>
						<option>-keep class com.jingchen.ccny.common.cache.ConvertorNewCache { *; }</option>
						<option>-keep class com.jingchen.ccny.base.ControllerContext { *; }</option>
						<option>-keep class * extends com.jingchen.ccny.base.BaseService</option>
						<option>-keep class * implements com.jingchen.ccny.common.service.CallBackGuiService</option>
						<option>-keep class * implements com.jingchen.ccny.common.service.CallBackUDService</option>
						<option>-keep class com.jingchen.ccny.util.SpringUtil</option>
						<!--<option>-keep interface * extends * { *; }</option>-->
						<!-- 此選項將在所有包的所有類中保存所有原始定義的注釋.-->
						<option>
							    -keep class * {
							@org.springframework.beans.factory.annotation.Autowired *;
							@org.springframework.beans.factory.annotation.Value *;
							@org.springframework.stereotype.Service *;
							@org.springframework.stereotype.Component *;
							@org.springframework.scheduling.annotation.Scheduled *;

							}
						</option>
					</options>
					<libs>
						<!-- Include main JAVA library required.-->
						<lib>${java.home}/lib/rt.jar</lib>
						<lib>${java.home}/lib/jce.jar</lib>
					</libs>
				</configuration>
				<dependencies>
					<dependency>
						<groupId>net.sf.proguard</groupId>
						<artifactId>proguard-base</artifactId>
						<version>6.2.2</version>
					</dependency>
				</dependencies>
			</plugin>

			<!-- Maven assembly must be run after proguard obfuscation so it take already obfuscated files.-->
			<plugin>
				<groupId>org.springframework.boot</groupId>
				<artifactId>spring-boot-maven-plugin</artifactId>
				<executions>
					<execution>
						<goals>
							<goal>repackage</goal>
						</goals>
						<configuration>
							<mainClass>com.jingchen.ccny.CcnyApplication</mainClass>
						</configuration>
					</execution>
				</executions>
			</plugin>
		</plugins>
	</build>

這里里面級聯參考的jar很多，建議配置了私服的人先把鏡像地址配置成maven中央倉庫地址，這樣先下下來相關依賴的包，然后再上傳到你們的私服上去，據我研究中知道的jar就有：

注意：不連外網配置maven中央倉庫的話，少了jar你們會很頭疼的，而且不止net.sf.proguard相關包，還包括了com.guardsquare.proguard-base 和 com.guardsquare.proguard-core 相關的jar，所以真的連外網下包很重要！！！！

推薦一個IDEA解決maven參考沖突的插件：Maven Helper

2.相關例外解決

• idea A required class was missing … org/apache/tools/ant/BuildListener
  問題原因：
  這個問題就是上面提到的因為apache的編譯用了一個ant-1.9.3的包，這個是級聯參考的，開始我是內網maven私服，單純的引入net.sf.proguard相關和com.github.wvengen相關的jar還是會缺少很多jar
  解決方案：
  連上外網，配置你的maven的setting.xml 的mirror鏡像地址，配置成Maven中央倉庫的地址，將相關的jar都下下來，然后再通過命令把你本地maven倉庫的jar上傳到私服去
• Can’t process class [META-INF/versions/9/org/apache/logging/log4j/util/Base64Util.class]
• Can’t process class [META-INF/versions/11/module-info.class]
  問題原因
  這個問題的原因有很多方面，最主要的就是我們的jdk版本是1.8，我最開始用的ProGuard是5.3.3版本，然而我們SpringBoot的版本是2.3.3版本，SpringBoot2.3.3版本太新了，里面參考的相關包都是java9和java11的版本，這樣ProGuard在讀jar的時候會無法識別，這些問題在提升Proguard版本到6.2.2之后都解決了
  解決方案
  開始我的解決方案是忽略這些相關的jar， 例如在pom.xml的option配置：

<option>-libraryjars  ${settings.localRepository}/com/zaxxer/HikariCP/3.4.5/HikariCP-3.4.5.jar(META-INF/versions/11/module-info.class)</option>

但是我這樣配置之后，重新打包會提示：

• The same input jar [E:\maven\repo\com\zaxxer\HikariCP\3.4.5\HikariCP-3.4.5.jar] is specified twice.
  解決方案：參考
  而且我還嘗試了maven參考的時候排除這些高版本的級聯參考jar，單獨參考低版本，但最侄訓是因為太繁瑣而放棄了，直接提升Proguard版本到6.2.2 這些讀jar的版本問題就解決了，
• Annotation-specified bean name ‘a’ for bean class
  問題原因：
  出現這個問題主要還是混淆之后，bean重名了，spring默認是把類名的首字母小寫加載到容器里面，我們混淆類名之后，就容易造成beanName重復，
  解決方案：
  慶幸的是，我們可以通過改變spring加載bean的命名策略來解決這個問題，把包名帶上，同時在獲取Spring背景關系getBean的時候，加上包名路徑即可
  啟動類配置，具體如下：

@SpringBootApplication
public class CcnyApplication{

	public static class CustomGenerator implements BeanNameGenerator {

		@Override
		public String generateBeanName(BeanDefinition definition, BeanDefinitionRegistry registry) {
			return definition.getBeanClassName();
		}
	}

	public static void main(String[] args) {
		SpringApplicationBuilder sab=new SpringApplicationBuilder(CcnyApplication.class)
				.beanNameGenerator(new CustomGenerator());
		//這里如果想列印你加載的Spring的bean,可以這樣做：
		ApplicationContext ac =sab.run(args);
		Arrays.stream(ac.getBeanDefinitionNames()).forEach(System.out::println);
	}
}

這樣配置，你啟動的時候就能看到加載的所有的beanName（這里Service會帶上package路徑）

其他地方getBean的用法：

//這里的packagePath = com.jingchen.ccny.service
CallBackGuiService callBackGuiService = (CallBackGuiService) SpringUtil.getBean(packagePath+serviceName);
                    callBackResult = callBackGuiService.excute(convertMap);

這樣你就能正常的獲取到Spring容器加載的beanName了

注意事項

• 基本上影響打包和啟動的就上面一些問題了，其他的就是你們專案里面的細節了，
• 比如DAO要保留，要和mybatis里面的Mapper映射對應，DAO里面的方法傳參要改為map或者物體，另外序列化后的物體要保留
• Controller里面的方法入參，如果用了物體，這部分物體也要保留（保證其變數不會被混淆，不然傳值收不到）
• 另外就是你們spring相關的XML里面，如果單獨配置了Bean和Bean屬性的，這類bean要保留，不能被混淆
• 我這里保留了所有的介面和介面里面的方法，已經我們自定義的抽象類BaseService里面的方法名不會被混淆，這些你們可以自己定義,而且我這里定義了有標注@Component的類也保留類名，按照我上面的配置，基本上可以不用重新構建beanName，正常的application啟動就完事了
• 其他的沒了，就看你們還有沒有什么特定的類不能被混淆，以及你們要混淆的力度（我們的要求是保留所有類名、介面資訊和抽象類資訊，除此之外的所有類和方法都被混淆！）

總的來說花了兩天時間，有這樣的成果也是值得高興的，前一天解決jar沖突的比較多，主要原因就是最開始XX架構師搭建這個專案采用最新的SpringBoot版本，jdk確是1.8 ， 很多不兼容，

來個最終的效果圖吧：