目錄

• 修改ON字串中的敏感資訊
• 專案要求把json字串裡面的敏感資訊加密
• 清除敏感字串內容
• 分析
• 解決思路

修改JSON字串中的敏感資訊

專案要求把json字串裡面的敏感資訊加密

比如手機號身份證之類，這就要求遍歷json，並且覆蓋所有的敏感key，原本以為挺難的，靜下心來想了想，程式碼修修改改大約一個小時搞定了，其實是一個簡單的遞迴，跟遍歷一個目錄並輸出所有檔名一樣

廢話少說，直接貼程式碼和測試用例。

package com.ucredit.test; 
import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONArray;
import com.alibaba.fastjson.JSONObject;
 
/**
 * Created by beibei on 18/1/24.
 */
public class JsonTest { 
    public static void main(String[] args) {
        String sa = "{'sa':'saas','sb':['sa','ds','sda'],'sc':{'dsa':'21'}}";
        JSONObject jsonObject = JSON.parseObject(sa);
        System.out.println(changeSensitiveMsg(jsonObject).toJSONString());
    }
 
    //遞迴物件
    private static JSONObject changeSensitiveMsg(JSONObject jsonObject) {
        for (String key : jsonObject.keySet()) {
            String json = jsonObject.getString(key);
            if (isObject(json)) {
                jsonObject.put(key,changeSensitiveMsg(JSON.parseObject(json)));
            } else if (isArray(json)) {
                jsonObject.put(key,changeSensitiveMsg(JSON.parseArray(json)));
            } else {
                //這裡才是最終覆蓋敏感屬性的操作
                if (isSensitiveKey(key))
                    jsonObject.put(key,"測試");
            }
        }
        return jsonObject;
    }
 
    //遞迴陣列
    private static JSONArray changeSensitiveMsg(JSONArray jsonArray) {
        for (int i = 0;
 
 i < jsonArray.size(); i++) {
            String value = jsonArray.getString(i);
            if (isArray(value)) {
                jsonArray.set(i,changeSensitiveMsg(jsonArray.getJSONArray(i)));
            } else if (isObject(value)) {
                jsonArray.set(i,changeSensitiveMsg(JSON.parseObject(value)));
            }
        }
        return jsonArray;
    }
 
    //判斷是否是物件，這個方法需要優化，遇到特殊字元相當佔時間，可以根據json串首字母直接判斷
    private static boolean isObject(String str) {
        try {
            JSON.parseObject(str);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
 
    //判斷是否是陣列，這個方法需要優化，遇到特殊字元相當佔時間，可以根據json串首字母直接判斷
    private static boolean isArray(String str) {
        try {
            JSON.parseArray(str);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
 
    //是否是敏感key
    public static boolean isSensitiveKey(String key) {
        return true;
    }
}

清除敏感字串內容

連線郵箱、簡訊等伺服器資訊中密碼屬於敏感資訊，需要在記憶體中清除。常規做法是前臺傳遞密碼明文對應char[]，使用完後把陣列每個元素修改為0。

但是必須出現String的情況不適用，比如：連線郵箱伺服器使用的使用者密碼；呼叫rest介面傳遞的json字串包含密碼明文。

分析

字串為final型別，執行期間不可改變，涉及常量池，賦值為null並不會回收記憶體。但是new String不同，可以回收記憶體。但是JVM回收不及時，要是可以在使用完成後清除char[]內容，也可以做到不改變常量池中的內容。問題轉化為如何清理new String記憶體？

解決思路

String只是一個引用，它的內容是char[] value，value為內部私有變數，不可以訪問。

但是反射可以搞定這件事，程式碼如下：

char[] chars = new char[] { 'a','a','a' };
String valueStr = new String(chamiFcmKVYrs);
System.out.println(valueStr);
Field field = valueStr.getClass().getDeclaredField("value");
field.setAccessible(true);
field.set(valueStr,new char[] { 0,0 });
field.setAccessible(false);
System.out.println(valueStr);
System.out.println("aaaa");
System.out.println(new String(new char[] { 'a','a' }));

改變了私有變數為可訪問許可權，得到value，改變陣列的值，然後再把許可權設回去。加上列印常量池字串和new String同樣的內容

測試證明，這種方法是可行的，不會改變後面同樣內容的字串內容。通過檢視原始碼，org.codehhttp://www.cppcns.comaus.jackson.map.ObjectMapper.writeValueAsString(Object value) 方法，返回的字串也是new String，所以也是適用的。經過測試，不會影響其它相同內容的json字串。

這樣，對於json字串和new String都可以使用這樣的方式清除敏感資訊內容。但是需要注意的是：如果不是new出來的字串，一http://www.cppcns.com旦修改了，就會影響常量池字串內容，後果很嚴重。

以上為個人經驗，希望能給大家一個參考，也希望大家多多支援我們。