建设银行行号网站查询是什么俄语在线网站制作
阿昌教你如何优雅的数据脱敏
Hi，我是阿昌，最近有一个数据脱敏的需求，要求用户可自定义配置数据权限，并对某种类型数据进行脱敏返回给前端
一、涉及知识点
- SpringMVC
- Java反射
- Java自定义注解
- Java枚举
二、方案选择
1、需求要求
涉及主子账户权限，主账户可在权限中对一些列子账户进行数据权限配置，如姓名/年龄/身份证等，配置后子账户查询页面会根据主账户配置返回脱敏数据；
2、技术方案举例
针对如上类似需求的要求，整理出大致3类方向的技术实现思路
- 直接在代码中硬编码进行吊用脱敏服务或脱敏方案，进行数据脱敏
- 利用自定义注解的方式在SpringMVC生命周期中使用反射/拦截器postHandle等方式进行脱敏
- 利用自定义主角的方式在SpringMVC生命周期的最后JSON结果进行脱敏，用类似replace替换关键词替换字符串，实现脱敏
脱敏的具体逻辑可以直接使用hutool的轮子，如果很个性化就需要增加造轮子；
3、技术方案取舍
针对上面类似的方案进行取舍
- 思路1
- 可灵活变动；
- 但不够优雅；
业务侵入性强，需要到处修改之前的业务代码，还可能存在修改漏了，或者代码改错的风险（不选择）
- 思路2
- 类属性转换不够灵活，
无法跨数据类型替换，如int 替换为 str会报错，需要统一定义返回String的Vo对象; - 每次都需要反射解析，需评估
性能消耗; - 非http场景下，DTO模型标记注解，
服务内部交互序列化脱敏问题
- 类属性转换不够灵活，
- 思路3
替换关键词遗漏的可能，但可结合nacos进行维护配置关键词;当响应大量json时，字符串replace可能会有性能问题;消耗内存如果要替换的字符串较大，而原始字符串也很大，那么在替换过程中会消耗大量的内存。这可能导致内存溢出或性能下降。字符串拼接效率低下：在替换过程中，可能需要多次拼接字符串。由于String类是不可变的，每次拼接都会创建一个新的字符串对象，这会导致效率低下;可能存在处理时间长，String类的replace方法是通过创建一个新的字符串对象来实现替换的。如果原始字符串很大，那么每次替换都需要创建一个新的字符串对象，这会导致时间复杂度较高;`- 涉及数据安全问题`，无法保证100%替换正确
4、方案选定
上面种种都有问题，最后采用1和2方案结合的案例进行实行；
- 自定义注解；实现对某个需要脱敏字段进行标注
- 业务枚举；来控制对应脱敏逻辑的自定义实现
- 自定义序列化器，集成JsonSerializer + 实现ContextualSerializer；来整合上面的自定义注解 + 业务枚举脱敏逻辑
三、过程
1、自定义注解
@Target(ElementType.FIELD) //作用于字段上
@Retention(RetentionPolicy.RUNTIME)
@JacksonAnnotationsInside // 表示自定义自己的注解Sensitive
@JsonSerialize(using = SensitiveInfoSerializer.class) // 该注解使用序列化的方式
public @interface Sensitive {SensitiveTypeEnum value();
}
2、自定义脱敏序列化器
public class SensitiveInfoSerializer extends JsonSerializer<String> implements ContextualSerializer {SensitiveTypeEnum sensitiveTypeEnum;/*** 方法来源于ContextualSerializer，获取属性上的注解属性,同时返回一个合适的序列化器*/@Overridepublic JsonSerializer<?> createContextual(SerializerProvider serializerProvider, BeanProperty beanProperty) throws JsonMappingException {// 获取自定义注解Sensitive annotation = beanProperty.getAnnotation(Sensitive.class);// 注解不为空，且标注的字段为Stringif (Objects.nonNull(annotation) && Objects.equals(String.class, beanProperty.getType().getRawClass())) this.sensitiveTypeEnum = annotation.value();//自定义情况，返回本序列化器，将顺利进入到该类中的serialize方法中return this;}// 注解为空，字段不为String，寻找合适的序列化器进行处理return serializerProvider.findValueSerializer(beanProperty.getType(), beanProperty);}/*** 方法来源于JsonSerializer<String>：指定返回类型为String类型，serialize()将修改后的数据返回*/@Overridepublic void serialize(String str, JsonGenerator jsonGenerator, SerializerProvider serializerProvider) throws IOException {if (Objects.isNull(sensitiveTypeEnum)) {// 定义策略为空，返回原字符串jsonGenerator.writeString(str);} else {// 定义策略不为空，返回策略处理过的字符串//todo 获取用户自定义数据权限，判断是否需要脱敏jsonGenerator.writeString(sensitiveTypeEnum.desensitized(str));}}
}3、业务枚举
@AllArgsConstructor
public enum SensitiveTypeEnum {PRICE(1, "价格") {@Overridepublic String desensitized(String sourceStr) {return super.desensitized(sourceStr);}},NAME(2,"姓名"),//.....;private final int id;private final String desc;/*** 加密转化逻辑，如果有特别的加密逻辑，重写即可** @param sourceStr 待脱敏的明文* @return 脱敏后的密文*/public String desensitized(String sourceStr) {return "***";}
}
4、实体类
@Setter
@Getter
@Accessors(chain = true)
@NoArgsConstructor
@AllArgsConstructor
public class UserVo {/*** 用户名*/@Sensitive(SensitiveTypeEnum.NAME)private String name;
}
四、注意事项
1、自定义脱敏注解不生效
如果上文中提到的每一步都正常操作了，但自定义脱敏注解还是不生效：
那很可能是Spring Boot默认的消息转换器被替换成fastjson了，因为Spring Boot默认是使用jackson进行序列化的，上面的方案也是
基于jackson的，但如果项目中明确指定了使用fastjson进行序列化，那上面的自定义脱敏注解就不会生效：
@Bean
public HttpMessageConverters httpMessageConverters() {FastJsonConfig fastJsonConfig = new FastJsonConfig();fastJsonConfig.setSerializerFeatures(SerializerFeature.WriteMapNullValue, SerializerFeature.BrowserCompatible);FastJsonHttpMessageConverter fastJsonHttpMessageConverter = new FastJsonHttpMessageConverter();fastJsonHttpMessageConverter.setFastJsonConfig(fastJsonConfig);return new HttpMessageConverters(fastJsonHttpMessageConverter);
}
fastjson自定义序列化，此时的解决方案是新建过滤器类，实现com.alibaba.fastjson.serializer.ValueFilter接口并重写process方法：
public class CustomerSensitiveValueFilter implements ValueFilter {@Overridepublic Object process(Object object, String name, Object value) {try {Field field = object.getClass().getDeclaredField(name);Sensitive sensitive = field.getAnnotation(Sensitive.class);if (sensitive == null) {return value;}if (!(value instanceof String) || ((String) value).length() == 0) {return value;}String valueStr = (String) value;SensitiveTypeEnum typeEnum = sensitive.value();//todoreturn typeEnum.desensitized(valueStr);} catch (Exception e) {return value;}}}然后在上面声明httpMessageConverters()的地方新增以下代码：
fastJsonConfig.setSerializeFilters(new CustomerSensitiveValueFilter());
此时，上文中自定义的脱敏注解中，@JacksonAnnotationsInside和@JsonSerialize(using = SensitiveInfoSerializer.class)
再次运行验证，会发现自定义脱敏注解生效了：
2、注意影响范围
在VO的某个字段上加上@Sensitive(type = SensitiveTypeEnum.NAME)后，所有使用到该VO的接口，在返回数据时，
该字段都会被脱敏，如果列表页接口和详情接口共用了这个VO，但实际情况是列表页该字段需要脱敏，编辑页该字段不需要脱敏，
这种场景就需要特别注意。
3、其他场景
如果有类似用于内部直接EXCEL导出等类似也需要脱敏的场景，上面就会有问题，因为是基于Springmvc的场景；
可在toJSONString方法中自定义指定Filter来走我们自定义的脱敏逻辑Filter；
String s1 = JSON.toJSONString(obj,new CustomerSensitiveValueFilter());
参考内容：
- fastjson自定义序列化
- 自定义注解实现数据序列化时进行数据脱敏(基于springboot默认jackjson)、消息转换器HttpMessageConverter