xjar使用和原理

简单记录一下,后续有时间,补充细节, 使用macos操作系统

源码地址:xjar: Spring Boot JAR 安全加密运行工具，同时支持的原生JAR。基于对JAR包内资源的加密以及拓展ClassLoader来构建的一套程序加密启动，动态解密运行的方案，避免源码泄露或反编译。

前置知识

1. 普通jar启动原理和Springboot的jar启动原理

2. java类加载原理

3. java加密技术

XJar使用建议

1. 加密前对代码进行混淆 , 特别是不能加密的代码, 如自定义ClassLoader, 解密相关逻辑, 给从内存中拿密码的操作增加难度. 增加被破解后的代码的理解难度

使用

新版XJar只支持go启动器模式启动加密后的jar包 , 加密后需要go环境生成go启动器 . 运行时不需要go环境

main方法手动执行加密

1. 建普通maven项目加依赖<dependency> <groupId>com.github.core-lib</groupId> <artifactId>xjar</artifactId> <version>4.0.2</version></dependency><repositories> <repository> <id>jitpack.io</id> <url>https://jitpack.io</url> </repository></repositories>
2. 运行main方法public static void main(String[] args) throws Exception { // Spring-Boot Jar包加密 XCryptos.encryption() .from("/Users/jiyuejie/Documents/ilaw/code/project/vinci-flow/vinci-flow-web/target/vinci-flow.jar")//是需要加密的jar包路径（也可以使用绝对路径） .use("1qaz2wsx3edc_ilaw_userCenter")//是加密的秘钥 .include("/**/*.class") .include("/**/*.yml") .include("/**/*.xml") .exclude("/static/**/*") .exclude("/templates/**/*") .exclude("/META-INF/resources/**/*") .to("/Users/jiyuejie/Documents/ilaw/code/project/vinci-flow/vinci-flow-web/target/vinci-flow-encry.jar");//加密后的jar包的存放路径}
3. 生成加密jar包和go启动脚本
4. 执行 go build xjar.go,生成go启动器1. 注意:需要使用agent技术的话,要使用旧的启动脚本(xjar_agentable.go),没有禁用agen
5. 启动项目 ./xjar java -jar vinci-flow-encry.jar

maven插件

1. 需要加密的项目加依赖<build> <finalName>vinci-flow</finalName> <plugins> <plugin> <groupId>com.github.core-lib</groupId> <artifactId>xjar-maven-plugin</artifactId> <version>4.0.2</version> <executions> <execution> <goals> <goal>build</goal> </goals> <phase>package</phase> <configuration> <!-- 密码不建议在pom文件里配置 --> <password>io.xjar</password> <includes> <include>/**/*.class</include> <include>/**/*.yml</include> <include>/**/*.xml</include> </includes> <excludes> <exclude>/static/**/*</exclude> <exclude>/templates/**/*</exclude> <exclude>/META-INF/resources/**/*</exclude> </excludes> <targetJar>${parent.artifactId}-en.jar</targetJar> </configuration> </execution> </executions> </plugin> </plugins> </build><pluginRepositories> <pluginRepository> <id>jitpack.io</id> <url>https://jitpack.io</url> </pluginRepository></pluginRepositories>
2. 运行package, 接下来流程参考, main方法手动执行加密

原理

对jar的字节码加密 , 启动jar包时调用自定义的类加载器, 重写findClass方法,拿到字节流后,先解密再掉Classloader的defineClass方法,初始化成Class对象.

springboot的jar

正常springboot的jar包的Main-Class是Spingboot提供的JarLauncher , 加密后的Springboot的Main-Class指向的是XJar继承JarLaunch的XJarLauncher.

普通jar

参考:java -jar 运行原理,xjar 源码流程分析_数羊俱乐部的博客-CSDN博客

图凑合看吧, 有兴趣直接看源码结构

1. 加密

2. 解密执行