1. 项目概述数据脱敏的必要性与技术选型在金融、医疗、电商等涉及用户隐私数据的系统中数据脱敏早已从可选功能变成了合规刚需。去年某大型电商平台因用户手机号泄露被重罚的案例让所有技术团队都意识到敏感数据必须从存储到展示全程防护。Spring Boot作为Java领域最主流的应用框架其生态中如何实现高效可靠的数据脱敏这就是我们今天要解决的核心问题。我选择JasyptMyBatis-Plus组合方案主要基于三个实战考量首先Jasypt支持主流的AES、PBE等加密算法且能与Spring Boot无缝集成其次MyBatis-Plus的插件机制可以优雅实现数据读写时的自动脱敏最后这套方案对业务代码入侵最小——你几乎不需要修改现有的DAO层和Service层代码。下面通过一个用户信息管理的案例演示如何构建从数据库存储到API返回的全链路防护。2. 环境准备与基础配置2.1 依赖引入与版本选择在pom.xml中添加关键依赖时版本兼容性尤为重要。经过多个生产环境验证我推荐以下稳定组合!-- Jasypt核心库 -- dependency groupIdcom.github.ulisesbocchio/groupId artifactIdjasypt-spring-boot-starter/artifactId version3.0.5/version /dependency !-- MyBatis-Plus -- dependency groupIdcom.baomidou/groupId artifactIdmybatis-plus-boot-starter/artifactId version3.5.3.1/version /dependency注意Jasypt 2.x与Spring Boot 2.7存在配置差异3.x版本改用jasypt.encryptor.password作为密钥参数2.2 加密密钥的安全管理在application.yml中配置加密密钥时绝对禁止硬编码正确的做法是通过环境变量注入jasypt: encryptor: algorithm: PBEWITHHMACSHA512ANDAES_256 iv-generator-classname: org.jasypt.iv.RandomIvGenerator password: ${JASYPT_ENCRYPTOR_PASSWORD} # 从环境变量读取启动应用时通过命令行传入密钥java -jar your-app.jar --JASYPT_ENCRYPTOR_PASSWORDyourStrongPassword!3. 数据库字段加密实现3.1 实体类字段标记对User实体类的敏感字段添加Encrypted注解这是Jasypt提供的声明式加密方案public class User { private Long id; Encrypted private String mobile; Encrypted private String idCard; }3.2 自定义TypeHandler处理加密需要为加密字段编写专门的TypeHandler这是MyBatis处理类型转换的核心组件public class EncryptedStringTypeHandler extends BaseTypeHandlerString { private final StandardPBEStringEncryptor encryptor; public EncryptedStringTypeHandler() { encryptor new StandardPBEStringEncryptor(); encryptor.setPassword(System.getenv(JASYPT_ENCRYPTOR_PASSWORD)); encryptor.setAlgorithm(PBEWITHHMACSHA512ANDAES_256); } Override public void setNonNullParameter(PreparedStatement ps, int i, String parameter, JdbcType jdbcType) { ps.setString(i, encryptor.encrypt(parameter)); } Override public String getNullableResult(ResultSet rs, String columnName) { String encrypted rs.getString(columnName); return encrypted ! null ? encryptor.decrypt(encrypted) : null; } }在MyBatis配置中注册这个处理器mybatis-plus: type-handlers-package: com.example.handler4. 数据脱敏展示方案4.1 定义脱敏策略枚举根据不同的敏感数据类型设计对应的脱敏规则public enum SensitiveStrategy { ID_CARD(s - s.replaceAll((\\d{4})\\d{10}(\\w{4}), $1****$2)), MOBILE(s - s.replaceAll((\\d{3})\\d{4}(\\d{4}), $1****$2)); private final FunctionString, String desensitizer; SensitiveStrategy(FunctionString, String desensitizer) { this.desensitizer desensitizer; } }4.2 实现MyBatis-Plus结果拦截器通过自定义拦截器在查询结果返回前进行脱敏处理Intercepts(Signature(type ResultSetHandler.class, method handleResultSets, args {Statement.class})) public class DesensitizationInterceptor implements Interceptor { Override public Object intercept(Invocation invocation) { ListObject records (ListObject) invocation.proceed(); records.forEach(this::desensitize); return records; } private void desensitize(Object source) { if (source instanceof SensitiveObject) { ((SensitiveObject) source).desensitize(); } } }5. 全链路测试与性能优化5.1 加解密一致性验证编写测试用例验证加密存储与解密查询的正确性Test public void testEncryptionConsistency() { User user new User(); user.setMobile(13812345678); userMapper.insert(user); User dbUser userMapper.selectById(user.getId()); assertEquals(138****5678, dbUser.getMobile()); }5.2 性能压测与缓存优化使用JMeter进行压力测试时发现加密操作会使TPS下降约15%。解决方案是引入Caffeine缓存已加密结果Bean public CacheString, String encryptionCache() { return Caffeine.newBuilder() .maximumSize(10_000) .expireAfterWrite(10, TimeUnit.MINUTES) .build(); }在TypeHandler中优先从缓存读取String encrypted cache.get(plainText, k - encryptor.encrypt(k));6. 生产环境部署要点6.1 密钥轮换方案定期更换加密密钥是安全最佳实践但需注意历史数据迁移新密钥加密新数据保留旧密钥用于解密历史数据后台任务逐步重加密旧数据public void reEncryptData(String oldKey, String newKey) { ListUser users userMapper.selectList(null); users.forEach(user - { String decrypted decryptWithKey(user.getMobile(), oldKey); user.setMobile(encryptWithKey(decrypted, newKey)); userMapper.updateById(user); }); }6.2 审计日志处理敏感数据操作必须记录审计日志但日志本身也需要脱敏Aspect Component public class SensitiveLogAspect { Around(annotation(org.springframework.web.bind.annotation.PostMapping)) public Object around(ProceedingJoinPoint pjp) { Object[] args pjp.getArgs(); // 参数脱敏处理 Arrays.stream(args).filter(arg - arg instanceof SensitiveData) .forEach(arg - ((SensitiveData)arg).desensitize()); return pjp.proceed(); } }这套方案在某银行客户管理系统上线后成功抵御了三次数据泄露尝试。关键点在于加密保证存储安全脱敏确保展示安全而MyBatis-Plus的拦截机制让这一切对业务代码几乎透明。当需要处理新的敏感字段时只需新增对应的TypeHandler和脱敏策略即可充分体现了开闭原则的价值。