我用 Java 和库 ojdbc14 编写了一个小程序。 我已经对 jar 文件进行了混淆处理，但是如果我解压缩程序并检查一些类，我很容易看到我的数据库连接的连接字符串。 有人可以帮助混淆这些连接字符串吗？ 感谢并为我的英语感到抱歉！
【问题讨论】：
标签： java obfuscation proguard
代替
String secret = "secret";
做
String alpha = "sce"; // odd letters
String beta = "fsu"; // even letters + 1
StringBuilder secret = new StringBuilder();
for (int i = 0; i < alpha.length() + beta.length(); ++i) {
if (i % 2 == 1) {
secret.append(alpha.charAt(i / 2);
} else {
secret.append((char)(beta.charAt(i / 2) - 1);
}
}
你明白了。
【讨论】：
一个简单的解决方案是对字符串文字进行 base64 编码，并在需要使用时取消编码。这样，它就不会在纯文本中可见。
Apache Commons library 有一个可以使用的实用程序，它内置于Java 8。
【讨论】：
混淆的唯一目的是不让他人轻易窃取您的代码。在二进制文件被混淆之后，另一个程序员会发现修改和转售您的代码更加困难，或者使您的程序行为与您的预期不同（顺便说一下，Proguard 还删除了死代码，并且可能进行了其他优化，我不记得只是现在）。
在源代码中隐藏常量没有任何价值。你可以找到数十亿种奇特的方式，但目的是什么？一旦攻击者获得了代码，它就不会检查数千个 .class 文件：相反，如果她只想查看连接字符串，她只会附加一个调试器。设置断点（JDBC 栈没有被混淆）并等待你的程序重建连接字符串。
混淆不是加密。如果您不想将连接字符串与您的应用程序一起发送（可能是因为它包含一个秘密），那么只需在启动时以交互方式向用户要求该秘密，或者从标记为“安全”的某个位置读取。
【讨论】：
我建议您加密您的连接字符串并将密钥保存在 JAR 之外。使您的程序代码包含使用加密字节初始化的byte[]。
如果您不想要 JAR 外部的任何密钥，那么您唯一的选择是“通过默默无闻的安全性”。例如，您可以设计一些看似复杂的例程，在运行时生成加密密钥。例如，用固定的种子为随机数生成器播种，然后从中取出一些数字。
穷人的加密方法是简单的异或。您可以生成固定的伪随机序列并使用它来异或连接字符串的每个字节：
byte[] password = "password".getBytes(StandardCharsets.UTF_8);
Random rnd = new Random(204862727);
for (int i = 0; i < password.length; i++)
password[i] ^= rnd.nextInt();
// at this point password contains bytes which you would hardcode into your JAR
System.out.println("Encrypted: "+new String(password, StandardCharsets.UTF_8));
rnd = new Random(204862727);
for (int i = 0; i < password.length; i++)
password[i] ^= rnd.nextInt();
System.out.println("Decrypted: "+new String(password, StandardCharsets.UTF_8));
在我的系统上，打印出来
Encrypted: �ع�gO�
Decrypted: password
【讨论】：