Java Web 登入採用非對稱式加密（RSA演算法）

標籤：

登入時採用md5或者base64神馬的加密都是不可靠的，被抓包了還是可以類比登入的，基本沒啥用，只能說好過沒有...

接下來跟大家介紹下如何採用非對稱式加密，非對稱式加密的過程其實就是和https加密原理一樣，我的處理過程是這樣：

a. 在登入頁面產生公開金鑰和私密金鑰，將私密金鑰存在sesion中

b.公開金鑰用於前端頁面對資料進行加密

c.將資料轉送給後台，後台從session中拿到私密金鑰，然後對資料進行解密，把session中的私密金鑰刪除

下面簡單記錄下實現過程，具體的工具類RSAUtils.java的實現不在這裡細說。

1、在JSP中產生公開金鑰和私密金鑰，將公開金鑰放在session中：

   HashMap<String, Object> map = RSAUtils.getKeys();   //產生公開金鑰和私密金鑰     RSAPublicKey publicKey = (RSAPublicKey) map.get("public");   RSAPrivateKey privateKey = (RSAPrivateKey) map.get("private"); //私密金鑰儲存在session中，用於解密   session.setAttribute("privateKey", privateKey);   //公開金鑰資訊儲存在頁面，用於加密   String publicKeyExponent = publicKey.getPublicExponent().toString(16);   String publicKeyModulus = publicKey.getModulus().toString(16);   request.setAttribute("publicKeyExponent", publicKeyExponent);   request.setAttribute("publicKeyModulus", publicKeyModulus);

2、對資料進行加密，用到的前端js工具封裝在RSA.js中，需引入到頁面。

   RSAUtils.setMaxDigits(200);   var key = new RSAUtils.getKeyPair("${publicKeyExponent}", "", "${publicKeyModulus}");   var encrypedPwd = RSAUtils.encryptedString(key,orgPwd.split("").reverse().join(""));

其中，orgPwd為未經處理資料，這裡是我的密碼。

3、後台對接收到的資料進行解密。

String password=request.getParameter("password");

<span style="white-space:pre"></span>RSAPrivateKey privateKey = (RSAPrivateKey)request.getSession().getAttribute("privateKey");if(privateKey!=null){long time1 = System.currentTimeMillis();password = RSAUtils.decryptByPrivateKey(password, privateKey);log.info("decrypt cost time:"+(Double)((System.currentTimeMillis()-time1)/1000d) +"s");request.getSession().removeAttribute("privateKey");}

特別注意事項：RSAUtils.java中用到org.bouncycastle.jce.provider.BouncyCastleProvider，部署在伺服器上時需做如下兩項配置：

a. 修改jdk目錄下的 /jre/lib/security/java.security，增加如下配置：

b. 放bcprov-jdk16-146.jar 到 jdk目錄下的/jre/lib/ext 下。

在eclipse中開發調試倒是不需要，但部署上伺服器時需要，切記！

附件：

1. RSA.js http://pan.baidu.com/s/1ntr99LR

2.RSAUtils.java http://pan.baidu.com/s/1o6l1Wnw

3.bcprov-jdk16-146.jar http://pan.baidu.com/s/1i3EIw0P

Java Web 登入採用非對稱式加密（RSA演算法）