避免Java反编译代码泄露:Spring Boot集成Proguard进行代码混淆

在日常应用系统开发中，某些时候为了安全的需要，以防止代码被第三方进行反编译处理，因此需要将Java代码进行混淆处理。

在Java语言中，常用的代码混淆工具有：ProGuard、Allatori Java Obfuscator、VirboxProtector、ipaguard和DashO等。

在这些代码混淆工具中，ProGuard可以算得上是一款广受欢迎的Java代码混淆免费工具，它不仅可以压缩和优化Java代码，还能有效混淆代码结构。即ProGuard工具不仅可以删除无用的类、字段、方法、属性与注释，最大限度地优化字节码文件，还可以使用简短的无意义的名称来重命名已经存在的类、字段、方法和属性。

ProGuard处理流程如下图所示：

• 1）压缩(Shrink)：检测并删除未使用的类、字段、方法和属性；
• 2）优化(Optimize)：分析并优化方法的字节码；
• ? 3）混淆(obfuscate)：使用简短无意义的名称，如a、b、c等重命名类、方法和属性。
• ? 4）预检(preverify)：Java平台上对处理后的代码进行预检。

相关其他信息如下所示：

Proguard 官网： https://www.guardsquare.com/proguard

相关的配置文档：https://www.guardsquare.com/manual/configuration/usage

GitHub开源地址：https://github.com/Guardsquare/proguard

本示例基于“IntelliJ IDEA + Spring Boot 2.6.8 + Java 11”进行配置，整个配置过程只需要如下两步就可以完成代码混淆任务。

1. 在pom文件中加入Proguard混淆插件

在pom.xml文件中配置如下：

<plugin>
    <groupId>com.github.wvengen</groupId>
    <artifactId>proguard-maven-plugin</artifactId>
    <version>2.6.0</version>
    <executions>
        <!-- 以下配置说明执行mvn的package命令时候，会执行proguard-->
        <execution>
            <phase>package</phase>
            <goals>
                <goal>proguard</goal>
            </goals>
        </execution>
    </executions>
    <configuration>
        <!-- 就是输入Jar的名称，我们要知道，代码混淆其实是将一个原始的jar，生成一个混淆后的jar，那么就会有输入输出。-->
        <injar>${project.build.finalName}.jar</injar>
        <!-- 输出jar名称，输入输出jar同名的时候就是覆盖，也是比较常用的配置。-->
        <outjar>${project.build.finalName}.jar</outjar>
        <!-- 是否混淆 默认是true -->
        <obfuscate>true</obfuscate>
        <!--通过设置缓存目录可解决“error=206, 文件名或扩展名太长”的问题-->
        <putLibraryJarsInTempDir>true</putLibraryJarsInTempDir>
        <!-- 配置一个文件，通常叫做proguard.cfg,该文件主要是配置options选项，也就是说使用proguard.cfg那么options下的所有内容都可以移到proguard.cfg中 -->
        <proguardInclude>${project.basedir}/proguard.cfg</proguardInclude>
        <!-- 额外的jar包，通常是项目编译所需要的jar -->
        <!--<libs>
            <lib></lib>
        </libs>-->
        <!-- 对输入jar进行过滤比如，如下配置就是对META-INFO文件不处理。-->
        <inLibsFilter>!META-INF/**</inLibsFilter>
        <!-- 这是输出路径配置，但是要注意这个路径必须要包括injar标签填写的jar -->
        <outputDirectory>${project.basedir}/target</outputDirectory>
        <!--这里特别重要，此处主要是配置混淆的一些细节选项，比如哪些类不需要混淆，哪些需要混淆-->
        <options>
            <!-- 可以在此处写option标签配置，不过我上面使用了proguardInclude，故而我更喜欢在proguard.cfg中配置 -->
        </options>
    </configuration>
</plugin>
<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <executions>
        <execution>
            <goals>
                <goal>repackage</goal>
            </goals>
            <configuration>
                <mainClass>com.develhome.payment.gateway.webapi.GatewayWebApiApplication</mainClass>
            </configuration>
        </execution>
    </executions>
</plugin>

配置完Proguard插件如下图所示：

2. 添加并配置proguard.cfg文件

? 需要在项目的根目录（即pom文件同级的目录）添加一个proguard.cfg文件，该文件主要是对项目代码混淆时的参数配置，如下所示：

# 指定Java的版本
-target 11
# proguard会对代码进行优化压缩，他会删除从未使用的类或者类成员变量等
-dontshrink
# 是否关闭字节码级别的优化，如果不开启则设置如下配置
-dontoptimize
# 混淆时不生成大小写混合的类名，默认是可以大小写混合
-dontusemixedcaseclassnames
# 对于类成员的命名的混淆采取唯一策略
-useuniqueclassmembernames
# 混淆时不生成大小写混合的类名，默认是可以大小写混合
-dontusemixedcaseclassnames
# 混淆类名之后，对使用Class.forName('className')之类的地方进行相应替代
-adaptclassstrings

# 对异常、注解信息予以保留
-keepattributes Exceptions,InnerClasses,Signature,Deprecated,SourceFile,LineNumberTable,*Annotation*,EnclosingMethod
# 此选项将保存接口中的所有原始名称（不混淆）-->
-keepnames interface ** { *; }
# 此选项将保存所有软件包中的所有原始接口文件（不进行混淆）
-keep interface * extends * { *; }
# 保留参数名，因为控制器，或者Mybatis等接口的参数如果混淆会导致无法接受参数，xml文件找不到参数
-keepparameternames
# 保留枚举成员及方法
-keepclassmembers enum * { *; }
# 不混淆所有类,保存原始定义的注释-
-keepclassmembers class * {
                        @org.springframework.context.annotation.Bean *;
                        @org.springframework.beans.factory.annotation.Autowired *;
                        @org.springframework.beans.factory.annotation.Value *;
                        @org.springframework.stereotype.Service *;
                        @org.springframework.stereotype.Component *;
                        }

# 忽略warn消息
-ignorewarnings
# 指定不打印有关配置中潜在错误或遗漏的注释，例如类名中的拼写错误或缺少可能有用的选项
-dontnote com.develhome.payment.gateway.webapi.GatewayWebApiApplication
# 打印配置信息
-printconfiguration
-keep public class com.develhome.payment.gateway.webapi.GatewayWebApiApplication {
        public static void main(java.lang.String[]);
    }

完成上面两项配置，就可以进行代码编译打包了，如下日志所示：

#头条创作挑战赛##代码混淆##spring boot#