# class-final

**Repository Path**: qingchuhuiyi/class-final

## Basic Information

- **Project Name**: class-final
- **Description**: 简化版Java项目加密插件
只支持maven插件方式加密
读取密钥文件的方式解密
- **Primary Language**: Unknown
- **License**: Not specified
- **Default Branch**: master
- **Homepage**: None
- **GVP Project**: No

## Statistics

- **Stars**: 3
- **Forks**: 2
- **Created**: 2023-05-11
- **Last Updated**: 2025-10-23

## Categories & Tags

**Categories**: Uncategorized

**Tags**: None

## README

# ClassFinal

## 介绍
ClassFinal是一款java class文件安全加密工具，支持直接加密jar包或war包，无需修改任何项目代码，兼容spring-framework；可避免源码泄漏或字节码被反编译。

本项目是一个简化版，修改自gitee开源项目，原gitee地址: https://gitee.com/roseboy/classfinal

## 项目模块说明
* **classfinal-core:** ClassFinal的核心模块，几乎所有加密的代码都在这里；
* **classfinal-maven-plugin:** ClassFinal加密的maven插件；

## 功能特性
* 无需修改原项目代码，只要把编译好的jar包用本工具加密即可。
* 运行加密项目时，无需求修改tomcat，spring等源代码。
* 支持普通jar包、springboot jar包。
* 支持spring framework、swagger等需要在启动过程中扫描注解或生成字节码的框架。
* 支持maven插件，添加插件后在打包过程中自动加密。
* 支持加密BOOT-INF/lib下的依赖jar包。
* 支持加密springboot的配置文件。

## 环境依赖
JDK 1.8 +

## 使用说明

### maven插件方式加密

项目需要安装到本地仓库，在要加密的项目pom.xml中加入以下插件配置，加密打包之后pom.xml会被删除
```xml
<plugin>
    <groupId>net.rosegirl</groupId>
    <artifactId>classfinal-maven-plugin</artifactId>
    <version>1.2.1</version>
    <configuration>
        <password>!JKjdu$H3*DJ2022</password>               <!--加密密码，如果是#号，则使用无密码模式加密-->
        <packages>*</packages>                              <!--加密的包名(可为空,多个用","分割)-->
        <cfgfiles>*.yml</cfgfiles>                          <!--需要加密的配置文件，一般是classes目录下的yml或properties文件(可为空,多个用","分割)-->
        <libjars>oneclickedcrypt-1.0-SNAPSHOT.jar</libjars> <!--jar/war包lib下要加密jar文件名(可为空,多个用","分割)-->
        <!--<cfgpasspath>/etc/.env</cfgpasspath>-->         <!--密码文件路径，可为空，默认 /etc/.env-->
        <!--<excludes>com.Test</excludes>-->                <!--排除不需要加密的文件-->
        <!--<classpath></classpath>-->                      <!--外部依赖jarlib-->
        <!--<debug>true</debug>-->                          <!--调试模式，打印debug日志-->
    </configuration>
    <executions>
        <execution>
            <phase>package</phase>
            <goals>
                <goal>classFinal</goal>
            </goals>
        </execution>
    </executions>
</plugin>
```
运行mvn package时会在target下自动加密生成 name.jar，原jar包重命名为 name-resource.jar

### 密码文件格式
密码文件是KV的形式
```text
KEY=!JKjdu$H3*DJ2022   //!JKjdu$H3*(DJ2022 是你自己设置的密码
```

### 启动加密后的jar

加密后的项目需要设置javaagent来启动，项目在启动过程中解密class，完全内存解密，不留下任何解密后的文件。

解密功能已经自动加入到 所要加密的jar包中，不需要额外的jar包。

启动jar项目执行以下命令：

```sh
java -javaagent:name.jar -jar name.jar
```

密码读取顺序为：密码文件获取密码||~~控制台输入密码||GUI输入密码~~||退出


-------------------------

> 本工具使用AES算法加密class文件，密码是保证不被破解的关键，请保存好密码，请勿泄漏。

> 密码一旦忘记，项目不可启动且无法恢复，请牢记密码。

> 本工具加密后，原始的class文件并不会完全被加密，只是方法体被清空，保留方法参数、注解等信息，这是为了兼容spring，swagger等扫描注解的框架；
方法体被清空后，反编译者只能看到方法名和注解，看不到方法的具体内容；当class被classloader加载时，真正的方法体会被解密注入。

> 为了保证项目在运行时的安全，启动jvm时请加参数:  -XX:+DisableAttachMechanism 。

> 其他人仍可以通过读取虚拟机中解密后的字节码进行反编译，如需要真正的不泄露，目前我知道两种方案  
> 1. 定制开发虚拟机    这个颇有难度，市面上也有企业支持定制开发，稍贵
> 2. 使用GraalVM原生编译技术，编译jar包为exe等二进制可执行程序，不依赖虚拟机，可以有效提升程序性能，不过这就放弃了Java跨平台特性且不支持动态代理，还有很多其他限制