基于mybatis的数据库脱敏

• 背景
• 思路
• 实现
• 思考

背景

最近接到需求需要对数据库中的电话、身份证号等敏感信息进行脱敏加密处理，再加上之前面试时也被问到相关问题，所有在此记录。脱敏对象是数据库的字段，所以在数据库存取的出入口进行加解密操作是最合适的，项目中使用mybatis作为ORM框架，所以使用基于mybatis的数据库脱敏。

思路

对数据库中的数据进行脱敏处理，核心思想就是在入库时对敏感字段进行加密，在出库时对敏感字段解密。看清了这个问题，我们的关注点就有两个。

1. 何时？入库和出库
2. 何地？入参和查询结果

mybatis框架中的plugin，能够对上面两个关注点进行很好的控制，再结合自定义注解，对需要脱敏的字段进行标注，就能够满足我们的需求。

实现

理论知识储备

• mybatis interceptor执行流程与原理(MyBatis 插件之拦截器（Interceptor）_M义薄云天的博客-CSDN博客_mybatis 拦截器)
• 自定义注解
• 反射

1. 定义自定义注解，用于标识敏感字段

   /**
    * 标识字段入库信息需要加密
    * @see com.vcg.veer.sign.utils.DesUtils
    * @author zhouyao
    * @date 2021/10/27 9:22 上午
    **/
   @Retention(RetentionPolicy.RUNTIME)
   @Target(ElementType.FIELD)
   public @interface Encrypt {
   }
   
   

2. mybatis插件逻辑(对项目中使用的pagehelper和mybatis-processor插件兼容)

   
   /**
    * 敏感字段入库、出库处理
    *
    * @author zhouyao
    * @date 2021/10/27 9:25 上午
    **/
   @Intercepts(
           {
                   @Signature(type = Executor.class, method = "query", args = {MappedStatement.class, Object.class, RowBounds.class, ResultHandler.class}),
                   @Signature(type = Executor.class, method = "update", args = {MappedStatement.class, Object.class})
           }
   )
   public class EncryptInterceptor implements Interceptor {
   
       private final String EXAMPLE_SUFFIX = "Example";
   
   
       @Override
       public Object intercept(Invocation invocation) throws Throwable {
           Object[] args = invocation.getArgs();
           MappedStatement ms = (MappedStatement) args[0];
           Object parameter = args[1];
           Class argClass = parameter.getClass();
           String argClassName = argClass.getName();
           //兼容mybatis-processor
           if (needHandleExample(argClassName)){
               handleExample(args);
           }else{
               //自定义的mapper文件增删查改参数处理
               handleCustomizeMapperParams(args);
           }
   
           //update 方法
           if (args.length == 2 ){
               return invocation.proceed();
           }
           //兼容pagehelper
           if(args.length == 4){
               RowBounds rowBounds = (RowBounds) args[2];
               ResultHandler resultHandler = (ResultHandler) args[3];
               Executor executor = (Executor) invocation.getTarget();
               CacheKey cacheKey;
               BoundSql boundSql;
               //4 个参数时
               boundSql = ms.getBoundSql(parameter);
               cacheKey = executor.createCacheKey(ms, parameter, rowBounds, boundSql);
               List